DNSSECとCAAとは？ドメインを守る2つのDNS設定
どちらも「設定しなくても動く」ため後回しにされがちですが、守る対象は違います。それぞれの役割と注意点をまとめます。
公開: 2026年11月13日
DNSSEC：DNSの応答が本物かを検証する
DNSは、もともと、返ってきた答えが本物かどうかを確かめる仕組みを持っていません。攻撃者が、偽の答えをキャッシュサーバーに紛れ込ませる「DNSキャッシュポイズニング」などにより、利用者を偽のサイトへ誘導することが理論上は可能です。
DNSSEC（DNS Security Extensions）は、DNSの応答に電子署名を付けることで、「この答えは、そのドメインの管理者が発行したもので、途中で改ざんされていない」ことを、受け取る側が検証できるようにする拡張です。
仕組みの概要
- DNSKEY：ゾーンの公開鍵。ゾーンのデータは、この鍵に対応する秘密鍵で署名されます。
- RRSIG：各レコードに対する署名です。
- DS：親ゾーン（たとえば.jp）に登録する、子ゾーンの鍵の指紋です。これにより、ルートから親、そして子へと、信頼がつながります（信頼の連鎖）。
DNSSECが守るのは、応答の「真正性」と「完全性」です。通信内容を暗号化するものではなく、秘匿性は保証しません。
導入の手順と、失敗のリスク
- DNSのプロバイダ（ゾーンを管理している側）で、DNSSECの署名を有効にする。
- プロバイダが示すDS情報を、レジストラの管理画面で、親ゾーンに登録する。
この2番目を忘れると、署名が付いていても、親ゾーンとのつながりがなく、DNSSECとして機能しません。逆に、DSだけを登録して、署名がない（あるいは署名の期限が切れている）と、検証を行うDNSリゾルバーが、そのドメインを引けなくなります。つまり、サイトもメールも使えなくなります。
現状
DNSSECの採用は、ドメインや地域によって差があり、すべてのドメインで必須というわけではありません。導入は任意ですが、金融機関や行政機関、重要なサービスなど、DNSの改ざんが大きな被害につながるドメインでは、検討する価値があります。
CAA：証明書を発行できる認証局を制限する
HTTPSで使うサーバー証明書は、認証局（CA）が発行します。誤発行や、不正な発行を防ぐために、「このドメインの証明書は、この認証局にだけ発行を許可する」と宣言するのが、CAA（Certification Authority Authorization）レコードです。
認証局は、証明書を発行する前に、対象ドメインのCAAレコードを確認し、自分が許可されていない場合は、発行しないことが求められます。
書き方の例
example.co.jp. CAA 0 issue "letsencrypt.org"
example.co.jp. CAA 0 issuewild ";"
example.co.jp. CAA 0 iodef "mailto:security@example.co.jp"issue：通常の証明書の発行を許可する認証局。issuewild：ワイルドカード証明書の発行について。";"は、誰にも許可しないという意味です。iodef：ポリシー違反の発行要求があったときの、通知先です。
注意点
- CAAを設定しないと、どの認証局も（ドメインの所有権確認を通れば）発行できます。設定は任意で、未設定が直ちに問題というわけではありません。
- 使っている認証局を許可リストに入れ忘れると、証明書の更新が失敗します。クラウドサービスのマネージド証明書を使う場合は、そのサービスが使う認証局を、リストに含める必要があります。
- CAAは、不正な発行を完全に防ぐものではなく、「想定外の認証局からの発行」を減らす対策です。発行された証明書の監視には、証明書透明性ログが役立ちます。
確認する方法
DNSヘルスチェックでは、DNSSECの状態（有効で検証成功、DSだけがある、鍵だけがある、検証に失敗しているなど）と、CAAレコードの有無・許可している認証局を確認できます。DNSSECが壊れている場合は、サイトが引けなくなっている可能性があるため、警告として表示します。
よくある質問
DNSSECは、必ず導入すべきですか？
必須ではありません。導入のメリットと、運用の負担、失敗したときの影響を比較して決めます。重要なサービスで、DNSの改ざんが大きな被害になるドメインでは、検討する価値があります。
CAAを設定すると、証明書の更新が止まることはありますか？
許可リストに、使っている認証局が入っていないと、止まります。クラウドサービスのマネージド証明書を使うときは、そのサービスが使う認証局を、必ずリストに含めてください。
DNSプロバイダを変更するとき、DNSSECで気をつけることは？
DSレコードと、新しいプロバイダの鍵が食い違うと、ドメインが引けなくなります。切り替え前に、手順を確認し、DSの扱い（いったん外す、または新旧の鍵を併用する）を、事前に計画してください。