DNS CAA レコードを設定したい

CAA(Certification Authority Authorization) レコードとは

CAAレコード設定の概要

SSLサーバー証明書を第三者が勝手に発行することを防止する仕組みです。

認証局（CA）はSSLサーバー証明書を発行する際にDNSを確認し、ドメイン所有者がその認証局にSSLサーバー証明書の発行を許可しているかどうかをチェックします。

この設定はユーザの任意とされているため、設定しなくてもSSLサーバー証明書の発行に支障はありません。

CAAレコード設定の仕様

ドメイン所有者はDNSの設定画面からCAAレコードに値を設定します。設定する値は例1・例2をご確認ください。

認証局はSSLサーバー証明書を発行する際にDNSのCAAレコードを参照し、自分の認証局のコモンネームが設定されているか、空の場合に証明書を発行することができます。

他社の認証局のコモンネームが設定されている場合は証明書を発行できません。

CAAレコードはサブドメイン、ルートドメイン（ネイキッドドメイン or ゾーンアペックス）単位で設定できますが、サブドメインにCAAレコードを設定していなくてもルートドメインに設定されている場合、証明書の発行を制限できます。

例1

test.example.comにCAAレコードを設定して今の認証局のみに証明書発行を制限している場合、別の認証局ではtest.example.comの証明書は発行できませんが、example.comの証明書は発行可能です。

例2

example.comにCAAレコードを設定して今の認証局のみに証明書発行を制限している場合、別の認証局ではexample.comの証明書の発行はできません。
また、test.example.comの証明書も発行できません。

CAAレコード設定の必要性

CAAレコードの設定は必須ではありません。そのため、ドメインにCAAレコードが設定されていない場合でもSSLサーバー証明書は正常に発行されます。

CAAレコードにコモンネームが設定されていて、そのコモンネームが発行しようとしている認証局と異なる場合のみ、発行ができなくなります。

CAAレコードの設定方法

さくらインターネットでドメインを取得している場合、以下の手順でCAAレコードを設定できます。

STEP 1/3

会員メニューにログイン

会員メニュー にログインします。

会員ID	お客様の会員ID（例:nnn12345） ※ご不明の場合は、「会員IDが分からない場合の確認・照会」をご確認ください。
パスワード	会員メニューパスワード ※申込時に、お客様にて決めていただいた任意のパスワードです。 紛失した場合は「会員メニューパスワードの変更・再発行をしたい」をご確認ください。

STEP 2/3

ドメインコントロールパネルへ移動

1画面左側の契約情報から［契約中のドメイン一覧］をクリックします。

2契約中のドメイン一覧が表示されます。［ドメインコントロールパネル］をクリックします。

STEP 3/3

ネームサーバー情報の変更

1該当ドメインの［ゾーン］をクリックします。

2［編集］をクリックします。

3レコード追加の欄を確認します。

タイプのプルダウンから［認証局認証（CAA）］を選択し、・データに［発行を許可する[認証局(※)]］を入力して［追加］をクリックします。

※データに入力する設定値については、CAAレコードの設定値をご参考ください。

エントリー名	@
タイプ	認証局認証(CAA)
データ	発行を許可する[認証局(※)]

4［保存］をクリックします。

5設定した値を確認します。