CAAとは？認証局認可を理解する

あなたのドメインが、すべての訪問者が正しい場所にいることを証明する必要のある、プライベートなデジタル会場であることを想像してみてください。認証局認証(CAA)は、お客様のドメインの専用ゲストリストとして機能し、お客様に代わってSSL/TLS証明書を発行できる認証局(CA)を決定します。 

このレコードがなければ、どのCAでもあなたのドメインの証明書を発行でき、なりすましがあなたを装うことができる可能性があります。適切に設定されたCAAレコードは、サイトの信頼性を強化し、不正な証明書の発行を防止し、ブランドのデジタル・アイデンティティを確実に保護します。

CAAレコードとは？

CAAレコードは、DNSのシンプルなエントリで、個人的な公開用心棒リストの役割を果たします。CAAレコードは、「これらの特定の、事前に承認された認証局だけが、SSL/TLS証明書を発行することを許可されています。 SSL/TLS証明書を発行することを許可します。"

これは単なる丁寧な提案ではありません。 CA/ブラウザフォーラムベースライン要件。各認証局は証明書を発行する前に、あなたのCAAレコードをチェックしなければならず、もし認証されていなければ、発行を拒否しなければなりません。

なぜCAAが重要なのか？

ハッカーがいない世界では、オープン・ドア・ポリシーで問題なかっただろう。しかし、ウェブは賑やかで混沌とした都市である。CAAの記録によって強制される強固なドアポリシーは、いくつかの理由から不可欠である：

なりすましを防ぐ

CAAレコードは、不正なCAがあなたのドメインに対して不正な証明書を発行することを阻止し、デジタル詐欺師があなたのドメインの隣に説得力のある偽の店舗を設置することを阻止するのに役立ちます。

評判を守る

偽造証明書は、フィッシング攻撃 フィッシング攻撃や「マン・イン・ザ・ミドル」スキームに使用され、信頼できるブランドと犯罪行為を結びつける可能性があります。CAAの記録は、このような風評被害に対する防御の第一線です。

セキュリティ標準の実施

お客様は、自社のセキュリティおよび審査基準を満たす CA を選択できます。CAAは、危険なパートナー、不正な従業員、巧妙な攻撃者など、誰もお客様の選択をバイパスできないことを保証します。

コンプライアンス・チェックマーク

NISTやPCI DSSのような厳格なセキュリティ・フレームワークを遵守する組織にとって、証明書発行の管理を実証することは、単に良い習慣というだけでなく、多くの場合、要件となる。

CAAレコードの仕組み

CAは、あなたのドメインの証明書要求を受け取ると、あなたのDNSにCAAレコードがないかチェックする。レコード自体は明確な命令であり、フラグ、タグ、値の3つの部分から構成される。

CAAの記録はこの構造に従っている：

example.com. IN CAA <flag> <tag> <value>

通常、このフラグは0であり、認可命令ごとに1つずつ、複数のレコードを共存させることができる。

• フラグ：このフラグは通常0に設定されるが、128（「クリティカル」フラグ）に設定することで、CAがタグを認識しない場合、発行を拒否するように指示し、安全性をさらに高める。
• タグ これが具体的な命令である。主な命令は3つある：
  • 発行:CA に標準証明書の発行を許可する。
  • イシューワイルド:に対する許可を与える。 ワイルドカード証明書 (例 例：*.example.com).と同じ CA に割り当てることも、異なる CA に割り当てることもできます。 発行タグに割り当てることができます。
  • ヨード:これは「インシデントの報告」指示である。これは、以下のような場合にCAが通知を送ることができるメールアドレスを提供する。 電子メール・アドレスを提供する。を送信するためのメールアドレスを提供する。
• 値：値：認可されたCAの名前または報告用メールアドレス。

CAAレコードの設定

CAAレコードの設定は、DNS管理コンソールで行います。

1.DNSを入力します：ドメインレジストラまたはDNSプロバイダにログインします。

2.新しいルールを投稿する：新しいDNSレコードを追加するエリアを見つける。

3.インストラクションを書く：

• • タイプ CAA
  • ホスト/名前あなたのドメイン（例 example.com)
  • タグ選ぶ 問題, イシューワイルドまたは iodef.
  • 値：CA のドメイン名を引用符で囲んで入力する（例． 「digicert.com).
  • 旗:に設定します。 0.

4.出版と検証:レコードを保存します。DNS の変更がインターネット全体に広がるには時間がかかることがあります。PowerDMARCのオンライン CAAチェッカーをご利用ください。

PowerDMARCがお手伝いできること 

PowerDMARC の認証局認証チェッカーは、ご自身のドアポリシーを検査するためのツールです。これは、CAAの記録を即座に検証し、選択したCAのみがリストに登録されていることを確認するために設計された、強力で無料のユーティリティです。

ステップ1: PowerDMARCに無料登録する 

サインアップにご登録いただくと、ドメインの安全性を維持するためのDNSおよびメール認証ツール一式をご利用いただけます。

ステップ2：分析ツール > 検索ツール > CAAチェッカーに進む 

メインメニューから分析ツールに移動します。の中にCAAチェッカーがあります。 Lookup Toolsタブにあります。

ステップ3：ドメイン名の入力 

検査したいドメインを入力する（例． powerdmarc.com)をツールボックスに入力し、"Lookup "ボタンを押してください。

ステップ4：認定リストの確認 

このツールは直ちにDNSを照会し、アクティブなCAAポリシーを表示します。認証されたCAを確認し、そこにあるべきでないCAを簡単に見つけることができます。また、各レコードのTTL（Time to Live）も表示されます。

ステップ5：あらゆる問題を解決する 

チェッカーが設定ミスや未承認のエントリーにフラグを立てたら、詳細情報を使ってDNSプロバイダーに戻り、トラブルシューティングを行うことができる。

重要優れたCAAチェッカーは、不正な証明書発行の防止、ドメイン・セキュリティの強化、設定ミスの効果的な特定とトラブルシューティング、コンプライアンスの確保、SSL証明書管理の改善に役立つ。

避けるべき新人のミス

• リストのタイプミスCA名のスペルミス(「digicert.co」ではなくではなく ではなく "digicert.co"の代わりに "digicert.co"）すると、完全にブロックされます。
• iodefレポートを忘れる：用心棒にインシデント・レポートの送信先を伝えないということは、誰かがあなたのセキュリティをテストしているかどうかを知ることができないということだ。
• 一律のポリシー：標準的なドメインに1つのCAを使用し、ワイルドカードに別のCAを使用する場合、2つの別々のレコード(発行と issuewild).

CAAとその他のDNSセキュリティプロトコル

CAAレコードはフロントドアのセキュリティですが、メールルームはどうでしょうか？そこで、他のDNSセキュリティ・プロトコルの出番となる。 SPF、DKIM、DMARCは、あなたのドメインから送信されるすべてのメール（電子メール）を検査し、それが偽造されていないことを確認するセキュリティチームです。

CAAがウェブ上のアイデンティティを保護するのに対し、DMARCは電子メールのアイデンティティを保護します。DMARCは、お客様のドメインに関連するすべてのデジタルインタラクションが信頼できるものであることを保証します。

最後の言葉

お客様のドメインのSSL/TLS証明書の発行者を完全に管理できます。CAAレコードは、お客様の承認された認証局のリストとして機能し、お客様の名前で証明書を作成することをブロックします。 

これは、顧客の信頼を損なうフィッシングやブランドなりすまし攻撃に対する大きな防御策となる。しかし、単に記録を作成するだけでは十分ではありません。正しく動作していることを確認するためには、定期的な検証が必要です。PowerDMARCは、CAAの設定をチェックするだけでなく、ウェブと電子メールのセキュリティを統合した完全な多層防御を展開するために必要なエキスパートツールを提供します。 

証明書発行プロセスを運任せにしない。 PowerDMARC にサインアップ今すぐ PowerDMARC にサインアップして、無料の CAA Checker を使用し、セキュリティ体制を検証し、ドメインの認証プロトコルを完全に可視化し、コントロールしましょう。

よくあるご質問 

CAAの記録は何を意味するのか？

CAAレコードは、DNS内のパブリックポリシーであり、どの特定の認証局がお客様のドメインのSSL/TLS証明書の発行を許可されているかを宣言する。

自分のドメインにCAAレコードは必要ですか？

いいえ、ウェブサイトが機能するためには必須ではありません。しかし、証明書がなければ、どのCAでも、リクエストの検証に合格すれば、あなたのドメインの証明書を発行することができます。これは潜在的なセキュリティリスクとなります。

複数のCAAレコードを持つことはできますか？

もちろんです。複数の認証局を使用する場合、認証されたプロバイダごとに個別のissueまたはissuewild CAAレコードを作成するだけです。

CAA記録を達成できなかった場合はどうなりますか？

CAAの記録がない場合、基本的に優先権がないことを世界に知らせることになります。これは、何百ものCAがあなたのドメインの証明書を発行できることを意味し、偶発的であれ悪意があるものであれ、潜在的な誤発行の表面積を著しく増大させる。

• について
• 最新記事

ユネス・タラダ

ドメインとメールセキュリティのエキスパートPowerDMARC

ユネスはPowerDMARCのオペレーションチームリーダーで、メール認証とセキュリティの専門知識を持つ。マイクロソフト認定のAzureアドミニストレーターアソシエイトであり、CompTIA A+やその他多くの資格を持っています。

最新記事 by Yunes Tarada(全て見る)

• セッション・ハイジャックとは？その種類と対策- 2025年11月14日
• メール到達率チェッカーとは？受信率の向上- 2025年11月13日
• cPanel SPF、DKIM、DMARCセットアップガイド- 2025年11月13日