CAAレコードとは？しーえーえーれこーど
CAAレコードとは、そのドメインの証明書を発行してよい認証局をDNS上で宣言するリソースレコード。CAは発行の前にこれを参照し、自社が許可されていなければ発行を断る。CA/Browser Forumの基本要件で確認が義務づけられており、意図しない発行を上流で止める仕組みとして働く。
最終更新：2026-10-06
この語が出る過去問を解く →背景
公的に信頼されるCAは世界に多数あり、そのどれか一つが所有確認を誤れば、所有者に無断で有効な証明書が発行されてしまう。所有者の側にはそれを事前に防ぐ手段が無く、発行された後に気づくしかなかった。そこで、所有者しか書き換えられないDNSへ「どのCAなら発行してよいか」を書き、CA側が発行前に必ず読む約束にすることで、誤発行の窓口そのものを絞る設計が採られた。
具体例
example.jp. CAA 0 issue "letsencrypt.org" と書けば、原則としてLet's Encryptだけがこのドメインの証明書を発行できる。ワイルドカード証明書だけを別に制限するissuewild、違反時の通報先を示すiodefというタグも定義されている。
試験での引っ掛け
発行を技術的に不可能にするものではなく、CAが確認するという約束の上に立つ宣言にすぎない。すでに発行済みの証明書を無効にする効果も無い。誤発行を後から見つける役割は、証明書透明性（CT）ログの側が担う。
関連用語
出た過去問
出典：令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問10（IPA）
DNSにおいてDNS CAA(Certification Authority Authorization)レコードを使うことによるセキュリティ上の効果はどれか。
正解：不正なサーバ証明書の発行を防ぐ。
要点：CAAは証明書を発行してよいCAをDNSで宣言する
CAAレコードは、そのドメインに対してサーバ証明書を発行してよい認証局をDNS上で宣言するためのリソースレコードである。認証局は証明書発行の前にCAAを参照する義務があり、自局が許可されていなければ発行を拒否する。これにより、ドメイン所有者の意図しない認証局から不正な証明書が発行されるリスクを下げられる。
出典：令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問15（IPA）
DNSにおいてDNS CAA(Certification Authority Authorization)レコードを設定することによるセキュリティ上の効果はどれ…
正解：不正なサーバ証明書の発行を防ぐ。
要点：CAAレコードは証明書を発行してよい認証局をDNSで限定する
CAAレコードは、そのドメイン名に対してサーバ証明書を発行してよい認証局をDNSで宣言するものである。認証局は発行前にCAAを参照する義務があり、自分が許可されていなければ発行を拒否する。これにより、ドメイン所有者が意図しない認証局から誤った証明書や不正な証明書が発行されるリスクを抑えられる。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。