كيف تُعدّ سجلات CAA لنطاقك؟

ما سجل CAA؟

سجل CAA هو سجل مورد DNS، معرّف في RFC 8659، يتيح لصاحب النطاق أن يسرد جهات إصدار الشهادات المسموح لها بإصدار شهادات لهذا الاسم. وشكله التقديمي هو CAA، ثم قيمة flags، ثم الوسم، ثم القيمة. وحقل flags بايت واحد، وبت 0 هو علم المصدِر الحرج (issuer critical flag)، ويُكتب 128 حين يكون مضبوطًا؛ وأغلب السجلات تستخدم 0. والوسم كلمة مثل issue، والقيمة سلسلة نصية غالبًا ما تكون بين علامتي تنصيص.

قبل الإصدار، تبحث جهة الشهادة عن سجلات CAA للاسم الذي طُلب منها توثيقه. فإن لم تجد أي سجل عند ذلك الاسم، تصعد إلى كل تسمية أصل بالتتابع وتتوقف عند أول مجموعة سجلات CAA تجدها، وفقًا لـ RFC 8659؛ ولا تتحقق أبدًا من الجذر. وإذا لم توجد مجموعة في أي مكان، فالإصدار غير مقيّد. لذلك يغطي السجل عند القمة كل نطاق فرعي لا يملك سجله الخاص.

تعريف مفيد للاقتباس: سجل CAA هو قائمة سماح عامة على مستوى DNS لجهات إصدار الشهادات المسموح لها بالإصدار لنطاق ما.

لماذا تحتاج المشاريع المشفرة إلى سجلات CAA؟

لأن مختطف DNS يحتاج إلى شهادة صالحة كي تبدو الواجهة المزيفة حقيقية، وCAA يصعّب هذه الخطوة. رصدت Blockaid خمسة اختراقات للواجهات بين 16 و23 فبراير 2026، ولاحظت بصمة واحدة: شهادات SSL صدرت في اليوم نفسه الذي تغيّر فيه DNS. وفي حالة Nerochain صدرت شهادات حرف البدل لنطاق المشروع.

ووفقًا لقراءة Wardmint لتقرير Blockaid بتاريخ 12 نوفمبر 2026، فإن خمسة اختراقات في سبعة أيام أنتجت عادة واحدة على الأقل للمهاجم تكررت، ويستطيع سجل CAA أن يعطّلها. فإذا كانت سجلاتك تسمح بجهتك وحدها، فالمهاجم الذي يغيّر DNS يجب أن يغيّر سجلات CAA أولًا قبل أن توقّع جهة أخرى، وهذا التغيير الإضافي إشارة يمكنك مراقبتها.

CAA ليست دفاعًا قائمًا بذاته. فالمهاجم الذي يتحكم في DNS يستطيع أن يعدّل سجلات CAA أيضًا، وينص RFC 8659 على أن CAA لا يؤثر في الشهادات الصادرة سابقًا. عامله كطبقة بجوار الضوابط في كيفية تأمين نطاقك ضد اختطاف DNS، وأقرِنه بتنبيهات من مراقبة شفافية الشهادات.

ما الصياغة الدقيقة لـ issue وissuewild وiodef؟

يأخذ كل سجل الشكل: الاسم، والفئة، وCAA، وflags، والوسم، والقيمة، وتأتي القيمة بعد الوسم تمامًا كما تحدده RFC 8659. ويسمّي وسم issue النطاق الخاص بالجهة المصدِرة المسموح لها بالإصدار. ويُطبّق وسم issuewild على أسماء حرف البدل وحدها، وعند وجوده يتجاوز issue لطلبات حرف البدل. ويعطي وسم iodef عنوان إبلاغ عبر mailto أو http أو https.

لمنع كل إصدار لاسم ما، انشر سجل issue بجهة مصدِرة فارغة، مكتوبة بفاصلة منقوطة بين علامتي تنصيص. وبالنسبة إلى نطاق عادي، انشر سجل issue واحدًا لكل جهة تستخدمها، وسجل issuewild واحدًا إذا أردت التحكم في أسماء حرف البدل بشكل منفصل. وخذ معرّف الجهة المصدِرة بدقة من وثائق جهتك، فهو اسم نطاق تختاره الجهة نفسها.

example.com.  3600  IN  CAA  0 issue "ca.example.net"
example.com.  3600  IN  CAA  0 issuewild ";"
example.com.  3600  IN  CAA  0 iodef "mailto:[email protected]"

parked.example.com.  3600  IN  CAA  0 issue ";"

كيف تُعدّ سجلات CAA على نطاق دفاعي؟

على نطاق دفاعي يعيد التوجيه فقط، اسمح بالجهة الواحدة التي تخدم إعادة التوجيه، أو امنع الإصدار إذا لم يُجب شيء عبر HTTPS. والنطاق المركون الذي لا يملك خدمة ويب لا يحتاج إلى شهادة، فيزيل 0 issue ";" الخيار أمام الآخرين. أما النطاق الدفاعي الذي يحوّل الزوار إلى موقعك الرئيسي عبر HTTPS فيحتاج شهادة لذلك، لذا يجب أن يسمح بالجهة التي تقدّمها.

ابدأ من الخطة في كيفية إعادة توجيه النطاقات الدفاعية إلى موقعك الرئيسي، ثم أضف سجلات CAA المطابقة. وفي Wardmint، DNS مجاني مع سجلات A وAAAA وCNAME وALIAS وMX وTXT وNS وSRV وCAA، وDNSSEC مُدار، وخوادم أسماء خاصة بك إن فضّلت (من 2 إلى 13)، فتُضاف السجلات في منطقة العميل نفسها التي يُضبط فيها التوجيه. ومشروع يملك المجموعة الأساسية من .com, .net, .org, .io, .xyz, .app بمبلغ $128.94 في السنة يطبّق مجموعة CAA نفسها على الأسماء الستة جميعها.

ما الأخطاء التي تُفسد إصدار الشهادات؟

الخطأ المعتاد هو تسمية جهة نسيت أنك تستخدمها. فمنصات الاستضافة وشبكات توزيع المحتوى وموفرو البريد أحيانًا يطلبون شهاداتهم الخاصة لأسمائك الفرعية. فإذا أغفلتها مجموعة CAA، يفشل التجديد، غالبًا دون ضجيج، حتى تنتهي صلاحية الشهادة. اسرد كل خدمة تخدم اسمًا تحت نطاقك قبل النشر.

والخطأ الثاني هو معرّف جهة مكتوب بشكل خاطئ، فيمنع الجميع، بمن فيهم الجهة التي قصدت السماح لها. اختبر بتجديد حقيقي. والثالث أن تنسى أن سجل CAA أعلى في التسلسل يسري على النطاق الفرعي الذي لا يملك سجلًا خاصًا، فقد يمنع سجل قمة مقيّد تجديد نطاق فرعي.

ولا يلغي تغيير السجل أي شهادة موجودة. فإن صدرت شهادة غير متوقعة، فعاملها كحادثة واتبع الخطوات في كيفية تأمين نطاقك ضد اختطاف DNS. رد على البريد الإلكتروني خلال 12 ساعة، 7 أيام في الأسبوع، بما في ذلك المساعدة في DNSSEC وسجلات CAA وبلاغات الإساءة، بما في ذلك المساعدة في سجلات CAA.