CAA チェックの失敗とその解決方法を理解する

概要

CAA チェックの失敗とは何ですか?

• 拒否されました: 証明書の発行を制限する明示的な CAA レコードに関連する障害。
• DNSSEC: DNSSEC の構成と応答から生じる問題。
• セキュリティ: XSS などの潜在的なセキュリティ脆弱性による障害。

CAA チェックが失敗する理由

テストを拒否

1. 空の問題タグ: empty.basic.domainname.com – CAA レコードが 0 の場合は失敗し、「;」が発行され、CA が許可されていないことを示します。
2. 明示的な否定: CAA レコードが issue または issuewild の発行を明示的に禁止している場合に発生します。CAA レコードが存在する場合、issue “ssl.com” または issuewild “ssl.com” のいずれかが含まれている必要があります。
3. 問題タグの大文字と小文字の区別: 大文字 (uppercase-deny.basic.domainname.com) または大文字と小文字が混在する (mixedcase-deny.basic.domainname.com) 問題タグは失敗します。
4. 大規模なレコードセット: big.basic.domainname.com – CAA レコードの数が多すぎる場合 (例: 1001) は失敗します。
5. 不明な重要な特性: critical1.basic.domainname.com および critical2.basic.domainname.com – 認識されないプロパティが critical としてマークされている場合は失敗します。
6. 木登り: 親 (sub1.deny.basic.domainname.com) または祖父母 (sub2.sub1.deny.basic.domainname.com) レベルの CAA レコードが発行を制限している場合は失敗します。
7. CNAME チェーン: cname-deny.basic.domainname.com、cname-cname-deny.basic.domainname.com、sub1.cname-deny.basic.domainname.comなどのCNAMEチェーン内のCNAMEターゲットにCAA制限が存在する場合は失敗します。CNAMEを含むCAAレコードの現在の動作は、  a.domain.com これはCNAMEレコードです sub.sub.別のドメイン.com CAAチェックはルートドメインまでチェックします。 別のドメイン CAA レコード用。
8. 許可的な親よりも拒否: deny.permit.basic.domainname.com – 親が発行を許可している場合でも、子が制限されている場合は失敗します。
9. IPv6 専用サーバー: ipv6only.domainname.com – CAA レコードが IPv6 経由でのみアクセス可能であり、CA がそれを処理できない場合は失敗します。

DNSSEC の失敗

1. 期限切れの DNSSEC 署名: expired.domainname-dnssec.com – DNSSEC 署名の有効期限が切れている場合は失敗します。
2. DNSSEC 署名がありません: missing.domainname-dnssec.com – DNSSEC 署名が存在しない場合は失敗します。
3. 応答しない DNS サーバー: blackhole.domainname-dnssec.com – DNSSEC 検証チェーンが応答しないサーバーにつながる場合、失敗します。
4. SERVFAIL 応答: servfail.domainname-dnssec.com – DNS サーバーが SERVFAIL で応答した場合は失敗します。
5. 拒否された応答: declined.domainname-dnssec.com – DNS サーバーが REFUSED で応答した場合は失敗します。

セキュリティチェック

1. XSS 脆弱性: xss.domainname.com – 問題プロパティに HTML または JavaScript が含まれている場合、XSS 脆弱性に対するテストは失敗します。

特別テストと情報テスト

CAA チェックの失敗を解決する方法

1. CAAレコードを確認する: CAA レコードで証明機関が発行者として明示的に許可されていることを確認します。  
   1. ドメインに「ssl.com」を発行する 
   2. ワイルドカード証明書の場合は「ssl.com」を発行する
2. digコマンドを使用する: これは、DNSネームサーバーとやり取りするために使用される多目的ネットワークツールです。DNSクエリを実行し、クエリしたサーバーからの応答を表示するため、DNSに関連する問題を診断および解決するための貴重なツールになります。例: dig @1.1.1.1 domain.com CAA。次のように表示されます。 ステータス:NOERROR
   1. サブドメインに dig コマンドを使用する: sub2.sub1.example.comなどのサブドメインのCAAチェックの失敗を解決するには、 dig コマンドを実行する前に、次の点を確認してください。 dig CAAコマンドは返還しなければならない NXドメイン or エラーなし CAA レコードが存在しない場合は、ドメイン階層の各レベルでこれを検証する必要があります。完全なドメイン名 (FQDN) sub2.sub1.example.com から始めて、sub1.example.com まで進み、最後にトップレベル ドメイン example.com まで進みます。検証プロセスは、CAA レコードが見つかるまでトップレベル ドメインまで続きます。
      
      注: CNAMEを使用したCAAレコードの現在の動作は、  a.domain.com これはCNAMEレコードです sub.sub.別のドメイン.com CAAチェックはルートドメインまでチェックします。 別のドメイン CAA レコード用。
3. Oracleの delvツール: Delv は、DNSSECを使用してDNSクエリのトラブルシューティングと応答の検証を行うように設計されており、検証と転送用に構成されたDNSサーバーの動作を模倣しています。指定されたサーバーにDNSKEYレコードやDSレコードなどのクエリを送信し、反復解決を実行せずに信頼チェーンを確立します。このツールは、リゾルバフェッチのログ記録など、さまざまなクエリオプションを提供します（+[no]rtrace）、回答の詳細（+[no]mtrace）、検証プロセス（+[no]vtrace).
4. DNSSEC設定を確認する: のようなツール DNSViz or ベリサイン DNSSEC アナライザー DNSSEC 設定の検証に役立ちます。
5. DNSプロバイダーに相談する: DNSSEC 関連の障害については、DNS プロバイダーが DNSSEC 署名または構成の問題の解決を支援できます。

その他の参考文献 

関連する SSL.com ガイド

• 証明機関の承認（CAA）の概要
• SSL.com SSL /の要件は何ですかTLS 証明書ドメインの検証？
• ドメイン検証 (DV) で使用される「一意の値」とは何ですか?
• ドメイン名SSL /TLS 事前検証