CAA（Certification Authority Authorization）レコードは、どの認証局（CA）がドメインのSSL/TLS証明書の発行を許可されているかを示すDNSレコードの一種である。CAAリソースレコードは、ドメイン所有者が、関連するドメインに対して特定のCAがTLS/SSL証明書を発行することを許可するポリシーを確立するのに役立ちます。ドメイン所有者として、CAAレコードを使用して、ドメイン全体と特定のホスト名の両方のセキュリティ・ポリシーを確立し、維持することができます。特定のサブドメインに個別のCAAレコードを確立する場合を除き、これをポリシー・サブドメインの包括ポリシーとみなすことができる。
CAAの記録は、3つの重要な要素で構成されている：
旗
ポリシーがクリティカルかどうかを定義する数値（0または128）。
タグ
ポリシーのタイプ（issue、issuewild、またはiodef）を指定します。
価値
認証 CA または報告用の電子メール/URL。
CAAの記録が実際にどのようなものか、いくつか例を挙げてみよう：
| CAAレコード構文 | その意味 |
| example.com.IN CAA 0 issue "letsencrypt.org" | example.com 用の SSL/TLS 証明書を発行できるのは Let's Encrypt だけです。 |
| example.com.IN CAA 0 issuewild "digicert.com" | これにより、DigiCertのみがexample.comのワイルドカード証明書を発行できる。 |
| example.com.IN CAA 0 iodef "mailto:[email protected] | これは、不正な証明書要求が検出された場合にアラートを送信するよう CA に指示するものである。 |
ある企業がSSL/TLS証明書を要求する。
認証局はDNSにCAAレコードがないか確認する。
- レコードが存在する場合 、CAはそのレコードが認可されているかどうかを検証する。
- 記録がない場合は、リクエストを続行する。
不正な場合、CA はリクエストを拒否するか、IODEF アラートを送信する。
CAA (Certification Authority Authorization)チェッカーは、SSL/TLS証明書の発行が許可されている認証局(CA)を管理・確認するのに役立ちます。 SSL/TLS証明書を管理・確認することができます。主な利点は以下の通りです：
CAAチェッカーを定期的に使用することで、不正な証明書の使用を防止しながら、安全でコンプライアンスに準拠したドメイン環境を維持することができる。
PowerDMARC の認証局認証チェッカーは、CAA レコードを検証することによりドメインのセキュリティを強化するように設計された強力なツールです。この検証プロセスにより、認証された CA のみがお客様のドメインに証明書を発行できることを保証します。
PowerDMARCに登録するとにご登録いただくと、様々なメール認証やDNS管理ツールをご自由にお使いいただけます！
左側のメニューバーで「分析ツール」に移動し、「ルックアップ・ツール」タブをクリックします。ルックアップツールのリストからCAAチェッカーを選択します。
CAAレコード・チェッカーのツールボックスに会社のドメイン名（例：company.com）を入力し、「検索」ボタンをクリックします。
CA のリストを表示するために、ツールに魔法をかけましょう！認可された認証局を確認し、認可されていない認証局を簡単に検出します。このツールは、関連する問題や各認証局に対応するTTLも強調表示します。
CAAの記録に問題があれば見直し、迅速にトラブルシューティングを行う！
CAAの記録がない場合はどうなりますか？
CAAレコードがない場合、どの認証局（CA）でもドメインのSSL/TLS証明書を発行できます。このため、不正な証明書が発行されるリスクが高まり、フィッシングや中間者攻撃などのセキュリティ上の脆弱性につながる可能性があります。
CAAレコードに複数の認証局（CA）を指定できますか？
はい、CAAレコードに複数のCAを指定することができます。これにより、未認証のCAがあなたのドメインに証明書を発行することを制限しつつ、複数の信頼できるCAと連携することができます。
CAAの記録はどのくらいの頻度でチェックすべきですか？
CAAレコードを定期的にチェックすることは、特にDNS設定を変更した後や、新しいCAをオンボー ドする際に推奨されるプラクティスです。定期的にチェックすることで、レコードが正しく設定され、セキュリティのベストプラクティスに準拠していることを確認できます。
私のCAAレコードが誤って設定されている場合は？
CAA レコードが誤って設定されていると、SSL/TLS 証明書の発行に失敗したり、不正な証明書が発行されたりする可能性があります。PowerDMARC の CAA Checker を使用して、設定ミスを素早く特定し修正することで、ドメインの安全性を確保することができます。
PowerDMARCのCAAチェッカーはサブドメインでも使えますか？
PowerDMARC の CAA Checker は、ルートドメインとサブドメインの両方の CAA レコードを検証することができます。すべてのレベルでポリシーが正しく適用されていることを確認し、証明書発行を完全にコントロールすることができます。
無料の検索ツールでドメインセキュリティを強化しましょう：
