CAAレコードとは

CAAレコードは、ドメインのTLS証明書を発行できる認証局を指定します。issue、issuewild、iodefなどのタグがあります。

結果の読み方

DNS Lookupへ証明書の対象ホスト名を入力し、CAAを選び、認証後に検索します。ワイルドカード証明書の場合も、*.を付けずに対象ドメインを入力します。

NetKarteはFlag、Tag、Value、TTLを分けて表示します。認証局は証明書発行前にCAAを確認します。

注意点

指定した名前のCAAが見つからないだけでは、発行制限がないとは断定できません。認証局による確認では親の名前や別名も関係します。NetKarteは検索対象のCAA応答を表示するもので、証明書発行時の確認手順全体を再現しません。CAAだけで証明書やWebサイト全体の安全性は保証されません。

issueとissuewildを混ぜない

説明用にTagが issue のレコードと issuewild のレコードが1件ずつある場合、通常の証明書とワイルドカード証明書の発行方針を分けて読めます。値はそのレコードのTagと組にし、別レコードのFlagを混ぜないでください。iodef は違反などの報告先に関する指定で、認証局名そのものではありません。

証明書の発行に失敗したときは対象名をCAAで検索し、利用する認証局の指定値と照合します。検索結果だけで設定を削除せず、親名や別名を含む適用範囲、認証局のエラー説明も確認してください。