CAAレコードチェッカー
認証局認可 (CAA) DNSレコードをチェックします: どのCAが証明書を発行できるか、ワイルドカードポリシー、iodef違反報告。不足しているCAAのリスクをフラグします — どのCAも認可なしで証明書を発行できます。
CAAレコードチェッカーの使い方
- 1ドメイン名を入力してCAAレコードを検索します。
- 2CAAレコードは、どの認証局がドメインのTLS証明書を発行できるかを制御します。
- 3ツールは通常のワイルドカード証明書の認可されたCAを表示し、iodef違反報告を追加します。
- 4不足しているCAAレコードがフラグされます — どのCAもドメインの認可なしで証明書を発行できます。
Zenovayアナリティクス
関連ツール
よくある質問
CAAレコードとは何で、なぜ重要ですか?▾
CAA（Certification Authority Authorization）DNSレコード（RFC 8659）は、どの認証局（CA）がドメイン用のTLS/SSL証明書を発行することを許可されているかを指定します。CAAレコードがない場合、数百の公開信頼CAsのいずれでもドメイン用の証明書を発行できます。CAが侵害されたり間違いを犯したりした場合、攻撃者は有効な証明書を取得できます。CAAレコードを使用すると、信頼する1つまたは2つのCAへの発行を制限できます。主要なブラウザは証明書発行中にCAAを適用します。CAAレコードは証明書セキュリティの防御層の一つです。
CAAのissueとissuewildの違いは何ですか?▾
issueはドメイン（例：example.com、www.example.com）の通常のDV/OV/EV証明書を発行できるCAを制御します。issuewildはワイルドカード証明書（*.example.com）を発行できるCAを制御します。issue=レコードのみでissuewild=レコードがない場合、issue=レコードはワイルドカードにも適用されます。ワイルドカード発行を完全にブロックしたい場合は、"0 issuewild \";\""を追加してください。二重引用符内のセミコロンはCAが認可されていないことを意味します。これはCAが侵害されても、ワイルドカード証明書発行を防ぎます。
CAAのiodefとは何で、使用すべきですか?▾
iodef（Incident Object Description Exchange Format）はドメイン用の証明書をリクエストされ、CAAポリシーに違反する場合、CAsにレポートを送信する場所を通知します。フォーマット："0 iodef \"mailto:[email protected]\""。誰かが認可されていない証明書を取得しようとした場合、早期警告が得られます。すべてのCAsがiodeoレポートを送信するわけではありませんが、Let's Encrypt、DigiCert、Comodoのような主要なものはそれをサポートしています。これは無料で、低ノイズのセキュリティ監視信号であり、有効にする価値があります。
CAAレコードは現在のSSL証明書を破損しますか?▾
CAAレコードを追加することは現在発行されている証明書に影響を与えません。今後の証明書発行にのみ影響します。ただし、証明書が期限切れになる前に現在のCAがリストされていることを確認する必要があります。Let's Encryptを使用している場合は、0 issue "letsencrypt.org"を追加します。Cloudflareが証明書を管理している場合は、0 issue "letsencrypt.org"と0 issue "pki.goog"（Google Trust Services、Cloudflareも使用）を追加します。TLS証明書チェッカーを使用して現在の証明書を発行しているCAを確認することで、証明書更新日前にCAAをテストしてください。
CAAレコードのフラグ値（0または128）は何ですか?▾
フラグは8ビット整数です。フラグ0は標準値であり、「non-critical」を意味します。特定のCAAタグを理解しないCAは、それが存在しないかのように扱うべきです。フラグ128は「critical」です。タグを理解しないCAは証明書の発行を拒否する必要があります。実際には、フラグ0はすべての標準タグ（issue、issuewild、iodef）に使用されます。フラグ128は、準拠していないCAが拒否することを確保したいカスタム/実験的CAAタグにのみ関連します。すべての標準CAAレコードにはフラグ0を使用してください。