ドメイン名とDNSサーバーを指定して、CAAレコード(証明書発行権限)を確認します。
見つかったCAAレコードをタグごと(issue / issuewild / iodef / その他)に分類して表示します。
この「CAAレコード確認ツール」は、指定したドメイン名に設定されているCAA（Certification Authority Authorization）レコードをオンラインで簡単に確認できる無料ツールです。
ドメイン名を入力して「確認する」ボタンをクリックするだけで、そのドメインのSSLサーバー証明書の発行を許可している認証局（CA）の情報を瞬時に取得し、表示します。
SSLサーバー証明書の取得や更新がうまくいかない時、またはドメインのセキュリティポリシーを確認する際に、CAAレコードが正しく設定されているかを素早くチェックできます。
目次
CAAレコード確認ツールの使い方
使い方は非常にシンプルです。3ステップで誰でも簡単にCAAレコードを確認できます。
- ドメイン名の入力: 確認したいドメイン名（例: example.com）を「ドメイン名」の入力欄に入力してください。「www」の有無は問いません。
- （オプション）DNSサーバーの指定: 特定のDNSサーバーで確認したい場合は、そのDNSサーバーのIPアドレスを入力します。通常は空欄のままで問題ありません。
- 確認の実行: 「確認する」ボタンをクリックします。
ボタンをクリックすると、入力されたドメインのDNS情報を検索し、設定されているCAAレコードの内容が「確認結果」欄に表示されます。
CAAレコードで取得する情報の基礎知識
ツールを使う上で知っておくと便利な、CAAレコードに関する基本的な知識を解説します。
CAAレコードとは？
CAAレコードとは、DNS（Domain Name System）に設定するリソースレコードの一種です。
そのドメインに対してSSLサーバー証明書（HTTPS通信に必要な証明書）の発行を許可する認証局（CA / Certification Authority）を、ドメイン所有者が明示的に指定するための仕組みです。
もしドメインにCAAレコードが設定されている場合、認証局は証明書を発行する前に必ずこのレコードを確認します。そして、自分自身が発行許可リストに含まれていない限り、そのドメインの証明書を発行してはいけません。
CAAレコードの目的
CAAレコードの主な目的は、意図しない認証局によるSSLサーバー証明書の不正発行を防ぐことです。
例えば、第三者が何らかの方法であなたのドメインの証明書を別の認証局から不正に取得しようとしても、あなたがCAAレコードで特定の認証局（例: Let’s Encrypt）のみを許可していれば、それ以外の認証局（例: DigiCert）はそのリクエストを拒否します。これにより、ドメインのセキュリティが向上します。
CAAレコードの構成要素
ツールで表示されるCAAレコードは、主に3つの部分で構成されています。
- flag (フラグ): 通常は「0」が設定されます。これはレコードの処理方法を示す数値です。
- tag (タグ): レコードの種類を示します。主に以下の3つがあります。
- issue: 指定した認証局（value）に、通常の証明書（例: example.com）の発行を許可します。
- issuewild: 指定した認証局（value）に、ワイルドカード証明書（例: *https://www.google.com/search?q=.example.com）の発行を許可します。
- iodef: 証明書発行の違反（許可されていないCAへの発行リクエスト）があった場合に、そのレポートを受け取るための連絡先（主にメールアドレス）を指定します。
- value (値): タグに対応する具体的な値です。
issueやissuewildタグの場合は、許可する認証局のドメイン名（例: “letsencrypt.org”）が入ります。
CAAレコードが設定されていない場合は？
ツールで確認して「CAAレコードが見つかりませんでした」と表示された場合、それは**「すべての認証局（CA）からの証明書発行を許可する」**という意味になります。
特に発行する認証局を制限する必要がない場合は、CAAレコードを無理に設定する必要はありません。
このツールが役立つときはどんなとき？
このCAAレコード確認ツールは、特に以下のような場面（ユースケース）で役立ちます。
- SSLサーバー証明書が発行・更新できないとき 証明書の新規取得や更新手続きがエラーになるとき、その原因がCAAレコードの設定ミスである可能性があります。このツールで「意図した認証局が許可されているか」を確認するのに使えます。
- 使用する認証局（CA）を変更するとき これまでA社（例: DigiCert）の証明書を使っていたが、B社（例: Let’s Encrypt）に変更する場合。もしCAAレコードでA社のみを許可していると、B社は証明書を発行できません。変更先のB社を許可するようCAAレコードを修正したあと、正しく反映されたかをこのツールで確認します。
- 自社ドメインのセキュリティポリシーを確認するとき 自社のセキュリティポリシーとして、特定の認証局以外からの証明書発行を禁止したい場合。CAAレコードを設定した後に、このツールを使って意図通りに設定が反映されているかを確認します。
- ワイルドカード証明書の発行前チェック ワイルドカード証明書（*https://www.google.com/search?q=.example.com）を取得する際、
issuewildタグが正しく設定されているか、またはissueタグで許可されているかを確認するために利用します。
