DNS CAAレコードジェネレーター＆ポリシー検証ツール
RFC 8659 に準拠した DNS CAA レコードを生成し、SSL/TLS 証明書の発行権限を信頼できる認証局（Let's Encrypt、DigiCert、Sectigo など）に限定します。
CAA構成パラメータ設定
完全発行禁止ロックダウン（全CAブロック）
空のレコード（issue ";"）を発行し、世界中のいかなる認証局もこのドメインの証明書を発行できないようにします。
Let's Encrypt(letsencrypt.org)
; ==============================================================================
; DNS CAA (Certification Authority Authorization) Resource Records
; Domain: example.com.
; RFC 8659 (obsoletes RFC 6844) / RFC 8657 (ACME Extensions)
; Generated 100% Client-Side with ToolsAA CAA Record Generator
; ==============================================================================
$ORIGIN example.com.
$TTL 3600
; Authorizes Let's Encrypt (letsencrypt.org) to issue standard certificates
example.com. 3600 IN CAA 0 issue "letsencrypt.org"
; Security contact for automated incident violation alerts via email
example.com. 3600 IN CAA 0 iodef "mailto:[email protected]"
許可認証局数
Let's Encrypt
指定された発行者のみが有効なSSL/TLS証明書に署名できます。
ワイルドカード設定
標準設定を継承
不正なワイルドカード発行やサブドメイン乗っ取りに対する強固な保護。
インシデント通報
アクティブアラート (iodef)
不正な証明書発行の試行に対する自動通知。
RFC 8659 厳格な証明書発行制御
信頼できる認証局のみをホワイトリストに登録することで、不正な認証局による独自ドメインやサブドメインの証明書誤発行・なりすましを防止します。
ワイルドカード分離と完全ロックダウン
issuewild パラメータによりワイルドカード証明書の発行局を個別分離し、または完全ロックダウン（issue ";"）により未使用ドメインを改ざんから永久保護します。
自動インシデント通報システム (iodef)
準拠認証局が事前チェックで不正な証明書リクエストを拒否した際、セキュアなメールまたはHTTP POSTウェブフック経由でリアルタイムにインシデント通知を受け取ります。