CAAレコードとは？

CAAレコードとは、そのドメインの証明書を発行してよい認証局をDNSで宣言するリソースレコード。CAは発行前にCAAを確認し、自分が許可されていなければ発行しない。ドメイン所有者の意図しない証明書の誤発行・不正発行を抑止する。

情報処理安全確保支援士試験の過去問では2回出題されています（2021年度〜2024年度）。

しーえーえーれこーど

情報処理安全確保支援士試験の頻出用語／午前II／別名：Certification Authority Authorization

CAAレコードの意味

そのドメインの証明書を発行してよい認証局をDNSで宣言するリソースレコード。CAは発行前にCAAを確認し、自分が許可されていなければ発行しない。ドメイン所有者の意図しない証明書の誤発行・不正発行を抑止する。

CAAレコードの具体例

example.jp. CAA 0 issue "example-ca.com" と設定すれば、他社CAは原則としてexample.jp向け証明書を発行しない。

CAAレコードは試験でどう引っ掛けられる？

CAAは「発行を技術的に不可能にする」ものではなく、CA側の遵守を前提とした宣言。既に発行済みの証明書を無効化する効果もない。

CAAレコードと関連する用語

CAAレコードが出た過去問

DNSにおいてDNS CAA(Certification Authority Authorization)レコードを使うことによるセキュリティ上の効果はどれか。
正解：不正なサーバ証明書の発行を防ぐ。
要点：CAAは証明書を発行してよいCAをDNSで宣言する
CAAレコードは、そのドメインに対してサーバ証明書を発行してよい認証局をDNS上で宣言するためのリソースレコードである。認証局は証明書発行の前にCAAを参照する義務があり、自局が許可されていなければ発行を拒否する。これにより、ドメイン所有者の意図しない認証局から不正な証明書が発行されるリスクを下げられる。
出典：令和3年度春期情報処理安全確保支援士試験 am2 問10（IPA）
DNSにおいてDNS CAA(Certification Authority Authorization)レコードを設定することによるセキュリティ上の効果はどれ…
正解：不正なサーバ証明書の発行を防ぐ。
要点：CAAレコードは証明書を発行してよい認証局をDNSで限定する
CAAレコードは、そのドメイン名に対してサーバ証明書を発行してよい認証局をDNSで宣言するものである。認証局は発行前にCAAを参照する義務があり、自分が許可されていなければ発行を拒否する。これにより、ドメイン所有者が意図しない認証局から誤った証明書や不正な証明書が発行されるリスクを抑えられる。
出典：令和6年度春期情報処理安全確保支援士試験 am2 問15（IPA）

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。