CAAレコード

証明を任せる相手の短い一覧

SSL証明書は、サイトに鍵マークを付けるものです。証明書は認証局が発行します。Certification Authority Authorizationの略であるCAAレコードを使うと、ドメインの証明書発行を任せる認証局を指定できます。

認証局は証明書を発行する前に、DNSのCAAレコードを確認します。レコードがなければ、どの認証局も発行できます。レコードがあれば、そこに指定された認証局だけが発行できます。

多くの人が意識しない理由

CAAレコードがまったくなくても、問題なく動くドメインは多くあります。利用しない認証局へ誤った申請が届いても自分の名前の証明書が作られないよう、セキュリティ対策として意図的に追加することもできます。

問題になるのは、何年も前や以前のホスティングサービスによってCAAレコードが追加され、一つの認証局だけが指定されている場合です。別の認証局を使う新しいサービスへドメインを接続すると、証明書の申請が拒否されます。サイトには鍵マークが付かず、httpsでまったく開けない場合もあります。

CAAによるブロックを直す

接続する正確な名前とapexの両方で、ドメインのCAAレコードを探してください。認証局は階層を上へたどって確認するためです。既存のレコードがあれば、新しいホスティングサービスの認証局を指定したCAAレコードを、その隣に追加します。以前の認証局をもう使わないのでなければ、古いレコードを削除する必要はありません。

CAAレコードにはそれぞれタグがあります。通常はissueの後に認証局の識別子が続きます。使う識別子は、ホスティングサービスのヘルプに記載されています。

CAAレコードの変更にも、他のレコードと同じキャッシュの規則が適用されます。修正後は少し待ってから再試行してください。認証局が新しいレコードを確認できれば、通常は追加の操作をしなくても証明書が届きます。

自分の設定を確認する

DNSチェッカーは、Mini Casaへの接続で証明書を妨げるCAAレコードを報告します。独自ドメインはプレビュー中で、アカウントでドメイン接続を使えるようになると、接続画面が証明書の段階を確認します。独自ドメインのガイドで手順を説明し、独自ドメインのページで現在使えるものを案内しています。