CAAレコード(シーエーエーレコード)とは | 意味や読み方など丁寧でわかりやすい用語解説

CAAレコードとは、DNS（Domain Name System）に設定される特定のレコードタイプの一つである。その主な目的は、ドメイン所有者が自身のドメインに対してSSL/TLS証明書を発行できる認証局（CA: Certificate Authority）を制限し、制御することにある。これにより、意図しない認証局からの証明書発行や、不正な証明書の発行を防ぎ、インターネット上のセキュリティを強化する役割を果たす。システムエンジニアを目指す上で、Webサイトのセキュリティを理解する上で重要な要素の一つである。

CAAレコードの動作は比較的単純だが、Webの信頼性において極めて大きな意味を持つ。通常、WebサイトをHTTPSで保護するためには、ドメイン所有者が認証局に対して証明書の発行を申請する。この際、認証局は申請者がドメインの正当な所有者であることを確認するドメイン認証を行う。CAAレコードは、この認証プロセスにおいて、どの認証局がそのドメインに対する証明書を発行することを許可されているかという情報を認証局に提供する。具体的には、証明書を発行しようとする認証局は、まず対象となるドメインのDNSレコードを検索し、CAAレコードが存在するかどうかを確認する。もしCAAレコードが存在し、その内容が自身の認証局からの発行を許可していなければ、認証局はその証明書の発行要求を拒否しなければならない。この仕組みにより、ドメイン所有者はどの認証局からの証明書発行を許可するかを明確に宣言できるため、誤って発行されるリスクを大幅に低減できる。

CAAレコードは、フラグ、タグ、値という三つの主要な要素で構成される。「フラグ」はレコードの処理方法に関するヒントを提供し、通常は0または128が設定される。例えば、criticalフラグがセットされている場合、CAはそのタグを理解できないと証明書発行を拒否する。「タグ」は、CAAレコードが何を制御するかを示すキーワードであり、主に「issue」「issuewild」「iodef」の三つが使われる。「値」は、タグに対応する具体的な内容を記述する部分である。

それぞれのタグについて説明する。issueタグは、特定の認証局からの非ワイルドカード証明書の発行を明示的に許可するために使用される。例えば、example.com. IN CAA 0 issue "letsencrypt.org"というレコードは、example.comに対してLet's Encrypt認証局のみが証明書を発行できることを示す。もしこのレコードが設定されていれば、DigiCertやSectigoといった他の認証局からの発行要求は拒否される。このタグを使用することで、組織が利用する認証局を特定のものに限定し、証明書管理の一貫性を保つことができる。

issuewildタグは、ワイルドカード証明書の発行を許可する認証局を指定する。ワイルドカード証明書は、*.example.comのように、単一の証明書で複数のサブドメインを保護できる便利なタイプの証明書だが、その特性上、セキュリティ上のリスクも伴うことがある。example.com. IN CAA 0 issuewild "sectigo.com"のように設定することで、ワイルドカード証明書の発行をSectigo認証局に限定できる。issueタグとissuewildタグは独立して機能するため、非ワイルドカード証明書とワイルドカード証明書で異なる認証局を許可することも可能である。

iodefタグは、証明書の発行が不正に行われようとした場合や、CAAレコードのポリシーに違反する要求があった場合に、認証局が通知を送るための連絡先を指定する。通常、メールアドレスやHTTPSのエンドポイント（URI）が値として設定される。例えば、example.com. IN CAA 0 iodef "mailto:security@example.com"と設定することで、何らかのポリシー違反があった際にsecurity@example.comに通知が届くようにできる。これは、セキュリティインシデントの早期発見や対応に非常に有用な機能である。

もしドメインにCAAレコードが一つも設定されていない場合、そのドメインに対しては、すべての認証局が証明書を発行することが許可されていると見なされる。これは、CAAレコードが存在しないことが、特に許可を制限しないことを意味するためである。このため、CAAレコードを設定することは、セキュリティを向上させるための「オプトイン」な措置と言える。

CAAレコードの導入にはいくつかの重要な利点がある。最も顕著なのは、Webサイトのセキュリティが向上することだ。ドメイン所有者が許可する認証局を明確にすることで、悪意のある第三者による不正な証明書発行のリスクを大幅に軽減できる。例えば、ドメインのDNS設定が乗っ取られた場合でも、乗っ取った者が自身の管理下にある認証局から証明書を発行しようとしても、CAAレコードによって拒否される可能性がある。これにより、フィッシングサイトの運用や中間者攻撃の準備を防ぐ助けとなる。また、組織内で証明書発行のポリシーを強制する手段としても機能する。特定の認証局のみの使用を義務付けることで、証明書の管理を一元化し、コンプライアンスを強化できる。さらに、iodefタグによる通知機能は、予期せぬ発行要求や不正な試みを早期に検知し、セキュリティ担当者が迅速に対応するための重要な情報を提供する。

一方で、CAAレコードの運用には注意点も存在する。CAAレコードを誤って設定すると、正当な証明書発行要求までもが拒否されてしまい、WebサイトがHTTPSでアクセスできなくなる可能性がある。例えば、許可する認証局のドメイン名を間違えて記述したり、必要な認証局をリストから漏らしたりすると、証明書の更新や新規発行ができなくなる。また、サブドメインは親ドメインのCAAレコードを継承するが、サブドメイン自体にCAAレコードを設定することで、親ドメインのポリシーを上書きすることも可能である。この階層的な挙動を理解し、適切に設定する必要がある。RFC 8659により、すべての認証局は証明書発行の際にCAAレコードをチェックすることが義務付けられているため、CAAレコードはWebセキュリティにおける標準的な実践となりつつある。システムエンジニアを目指す者は、このDNSレコードがWebセキュリティの根幹をなす要素の一つであることを理解し、適切に管理・運用できる知識を持つことが求められる。