<div dir="ltr"><br><div class="gmail_extra"><br><div class="gmail_quote">On Thu, Jan 12, 2017 at 10:28 AM, Bruce Morton via Public <span dir="ltr"><<a href="mailto:public@cabforum.org" target="_blank">public@cabforum.org</a>></span> wrote:<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div bgcolor="white" lang="EN-US" link="blue" vlink="purple"><div class="m_-2338802444567830818WordSection1">
<p class="MsoNormal"><span style="font-size:11.0pt;font-family:"Calibri",sans-serif;color:#1f497d">I know there was some discussion about caching. I do think that 1 hour may be a period which is too short. For instance it does not address the case where a CA
 issues a certificate manually from a secure room/secure server. In these cases, the server will not be able to evaluate a CAA record. I think that this should be raised to 24 hours.</span></p></div></div></blockquote><div><br></div><div>How often does that scenario happen - that you're issuing a server certificate via ceremony (as opposed to an intermediate or root certificate)?</div><div><br></div><div>I can appreciate that there might be things that 1 hour would make hard - but I think it is a valid question to ask how often those exceptional situations realistically happen, relative to the riskiness of the proposed solution.</div><div><span style="color:rgb(31,73,125);font-family:Calibri,sans-serif;font-size:11pt"><br></span></div><div><span style="color:rgb(31,73,125);font-family:Calibri,sans-serif;font-size:11pt"> </span></div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div bgcolor="white" lang="EN-US" link="blue" vlink="purple"><div class="m_-2338802444567830818WordSection1">
<p class="MsoNormal"><span style="font-size:11.0pt;font-family:"Calibri",sans-serif;color:#1f497d">The effective time of 6 months may be too short. For many CAs, they will just start to deploy based on the new ballot. In this case with technical requirements
 which will impact the issuance of certificates, there should be more time allowed to ensure CAA is deployed effectively. I propose 12 months after the voting period ends.</span></p></div></div></blockquote><div><br></div><div>As with previous discussions about implementation times, can you speak to your specific concerns, rather than hypothetical generalizations? This helps ensure we're picking a reasonable time, not simply an appealing time. I think this is especially important because as proposed, Gerv hasn't touched upon what interaction, if any, this has on cached validations - potentially meaning it's 4 years before domain holders can have any reasonable semblance of security. </div></div><br></div></div>