پاسخ کوتاه
چگونه رکوردهای CAA را برای دامنه‌ی خود تنظیم می‌کنید؟
یک رکورد CAA در رأس دامنه به شکل 0 issue "ca.example.net" اضافه کنید که هر مرجع صدور گواهی مجاز را نام ببرد، سپس برای گواهی‌های wildcard issuewild و برای گزارش نقض iodef را بیفزایید، همان‌طور که RFC 8659 تعریف می‌کند. DNS رایگان Wardmint از رکوردهای CAA روی هر دامنه پشتیبانی می‌کند و یک .com $ 12.49/سال هزینه دارد، با همان مجموعه‌ی رکورد بدون هزینه‌ی اضافی.
برچسب‌های CAA و کار هر کدام
| برچسب | نمونه‌ی رکورد | اثر |
|---|---|---|
| issue | 0 issue "ca.example.net" | به آن صادرکننده اجازه می‌دهد برای این نام گواهی صادر کند |
| issue (خالی) | 0 issue ";" | هیچ صادرکننده‌ای اجازه‌ی صدور برای این نام ندارد |
| issuewild | 0 issuewild "ca.example.net" | فقط برای نام‌های wildcard اعمال می‌شود و برای آن‌ها issue را لغو می‌کند |
| issuewild (خالی) | 0 issuewild ";" | گواهی‌های wildcard را ممنوع می‌کند، در حالی که گواهی‌های عادی مجازند |
| iodef | 0 iodef "mailto:[email protected]" | یک نشانی یا URL مشخص می‌کند که مرجع صدور بتواند درخواستی را که سیاست را نقض کرده گزارش دهد |
رکورد CAA چیست؟
رکورد CAA یک رکورد منبع DNS است که در RFC 8659 تعریف شده و به صاحب دامنه اجازه می‌دهد فهرست کند کدام مراجع صدور گواهی می‌توانند برای این نام گواهی صادر کنند. قالب نمایشی آن CAA، سپس مقدار flags، یک برچسب و یک مقدار است. فیلد flags یک octet است و بیت 0 پرچم issuer critical است که وقتی فعال باشد 128 نوشته می‌شود؛ تقریباً هر رکورد از 0 استفاده می‌کند. برچسب یک واژه مانند issue است و مقدار یک رشته است که اغلب در نقل‌قول می‌آید.
پیش از صدور، یک مرجع صدور رکوردهای CAA نامی را که باید گواهی شود بررسی می‌کند. اگر در آن نام هیچ رکوردی نباشد، به هر برچسب والد بالا می‌رود و در اولین مجموعه‌ی رکورد CAA که پیدا کند می‌ایستد، بر اساس RFC 8659؛ و هرگز ریشه را بررسی نمی‌کند. اگر هیچ مجموعه‌ای در هیچ جا وجود نداشته باشد، صدور محدود نیست. بنابراین یک رکورد در رأس همه‌ی زیردامنه‌هایی را پوشش می‌دهد که رکورد خاص خود را ندارند.
یک تعریف مفید برای نقل قول: رکورد CAA فهرست عمومی و سطح DNS مراجع صدور گواهی است که اجازه‌ی صدور برای یک دامنه را دارند.
چرا پروژه‌های کریپتویی به رکورد CAA نیاز دارند؟
چون یک ربایندهٔ DNS برای اینکه جبهه‌ی جعلی واقعی به نظر برسد به یک گواهی معتبر نیاز دارد و CAA این گام را سخت‌تر می‌کند. Blockaid بین 16 تا 23 فوریه 2026 پنج سازش جبهه‌ی کاربری را ردیابی کرد و یک نشانه‌ی مشترک یافت: گواهی SSL که در همان روز تغییر DNS صادر شده بود. در پرونده‌ی Nerochain، گواهی‌های wildcard برای دامنه‌ی پروژه صادر شده بودند.
بر پایه‌ی برداشت Wardmint از گزارش Blockaid در 12 نوامبر 2026، پنج سازش در هفت روز حداقل یک عادت تکرارشونده‌ی مهاجم را ایجاد کرد که یک رکورد CAA می‌تواند در آن اختلال ایجاد کند. اگر رکوردهای شما فقط مرجع خودتان را مجاز کنند، مهاجمی که DNS را تغییر می‌دهد باید پیش از امضای مرجع دیگر، رکوردهای CAA را هم تغییر دهد، و آن تغییر اضافی نشانه‌ای است که می‌توانید پایش کنید.
CAA به‌تنهایی دفاع کافی نیست. مهاجمی که DNS شما را کنترل کند می‌تواند رکوردهای CAA را هم ویرایش کند، و RFC 8659 می‌گوید CAA روی گواهی‌هایی که پیش‌تر صادر شده‌اند اثری ندارد. آن را لایه‌ای کنار کنترل‌های نحوه‌ی ایمن‌سازی دامنه در برابر ربودن DNS در نظر بگیرید و با هشدارهای پایش Certificate Transparency همراه کنید.
نحو دقیق issue، issuewild و iodef چیست؟
هر رکورد شکل نام، کلاس، CAA، flags، برچسب و مقدار را دارد و مقدار دقیقاً پس از برچسب می‌آید، همان‌طور که RFC 8659 مشخص می‌کند. برچسب issue دامنه‌ی صادرکننده‌ای را نام می‌برد که مجاز به صدور است. برچسب issuewild فقط برای نام‌های wildcard اعمال می‌شود و اگر وجود داشته باشد برای درخواست‌های wildcard، issue را لغو می‌کند. برچسب iodef یک URL گزارش می‌دهد که با mailto، http یا https است.
برای ممنوع کردن کامل صدور برای یک نام، یک رکورد issue با صادرکننده‌ی خالی منتشر کنید که به صورت نقطه‌ویرگول در نقل‌قول نوشته شده است. برای یک دامنه‌ی عادی، به ازای هر مرجعی که استفاده می‌کنید یک رکورد issue منتشر کنید، و اگر بخواهید wildcard ها جداگانه کنترل شوند یک رکورد issuewild. شناسه‌ی دقیق صادرکننده را از مستندات مرجعتان بردارید، زیرا نامی دامنه‌ای است که مرجع انتخاب می‌کند.
example.com. 3600 IN CAA 0 issue "ca.example.net"
example.com. 3600 IN CAA 0 issuewild ";"
example.com. 3600 IN CAA 0 iodef "mailto:[email protected]"parked.example.com. 3600 IN CAA 0 issue ";"چگونه رکوردهای CAA را روی یک دامنه‌ی دفاعی تنظیم کنیم؟
روی یک دامنه‌ی دفاعی که فقط تغییر مسیر می‌دهد، آن مرجع واحدی را مجاز کنید که تغییر مسیر را سرو می‌کند، یا اگر چیزی روی HTTPS پاسخ نمی‌دهد صدور را ممنوع کنید. دامنه‌ای که پارک شده و سرویس وب ندارد نیازی به گواهی ندارد، پس 0 issue ";" این گزینه را از دیگران می‌گیرد. دامنه‌ی دفاعی که بازدیدکنندگان را از طریق HTTPS به سایت اصلی شما می‌فرستد به گواهی برای آن نیاز دارد، پس باید مرجعی را که آن را فراهم می‌کند مجاز کنید.
از طرح نحوه‌ی تغییر مسیر دامنه‌های دفاعی به سایت اصلی شروع کنید، سپس رکوردهای CAA متناظر را اضافه کنید. در Wardmint، میزبانی رایگان DNS با رکوردهای A، AAAA، CNAME، ALIAS، MX، TXT، NS، SRV و CAA، DNSSEC مدیریت‌شده، و در صورت تمایل نیم‌سرورهای خودتان (2 تا 13)، پس رکوردها در همان بخش مشتری که هدایت در آن است افزوده می‌شوند. پروژه‌ای که مجموعه‌ی اصلی .com, .net, .org, .io, .xyz, .app را با $128.94 در سال دارد، همان مجموعه‌ی CAA را برای هر شش نام اعمال می‌کند.
چگونه رکوردهای CAA را در شش گام تنظیم کنیم
فهرست مراجعی را که استفاده می‌کنید بنویسید
بررسی کنید کدام مرجع گواهی برای سایت اصلی، مستندات و هر wildcard صادر می‌کند و شناسه‌ی صادرکننده‌ای را که هر کدام منتشر می‌کنند یادداشت کنید.
بررسی رکوردهای موجود
دستور dig CAA example.com +short را اجرا کنید تا ببینید آیا یک مجموعه‌ی CAA از قبل در رأس یا روی یک نام والد وجود دارد.
برای هر مرجع یک رکورد issue بیفزایید
در رأس دامنه، یک رکورد CAA با flags برابر 0، برچسب issue و شناسه‌ی مرجع در نقل‌قول اضافه کنید.
کنترل جداگانه‌ی wildcard ها
یک رکورد issuewild بیفزایید که مرجع مجاز صدور wildcard را نام ببرد، یا اگر هیچ‌کدام را نمی‌خواهید، یک نقطه‌ویرگول در نقل‌قول بگذارید.
افزودن نشانی گزارش
یک رکورد iodef با نشانی mailto بیفزایید که یک انسان آن را می‌خواند.
آزمایش، سپس پایش صدور
دوباره dig CAA را اجرا کنید، یک گواهی را درخواست یا تمدید کنید تا مطمئن شوید صدور هنوز کار می‌کند، و یک هشدار Certificate Transparency برای نام خود تنظیم کنید.
کدام اشتباهات صدور گواهی را از کار می‌اندازند؟
اشتباه رایج این است که مرجعی را نام ببرید که فراموش کرده‌اید استفاده می‌کنید. پلتفرم‌های میزبانی، سرویس‌های شبکه‌ی توزیع محتوا و ارائه‌دهندگان ایمیل گاهی گواهی‌های خود را برای زیردامنه‌های شما درخواست می‌کنند. اگر مجموعه‌ی CAA شما آن‌ها را نداشته باشد، تمدید شکست می‌خورد، اغلب بی‌صدا، تا زمانی که گواهی منقضی شود. پیش از منتشر کردن، هر سرویسی را که نامی زیر دامنه‌ی شما سرو می‌کند فهرست کنید.
اشتباه دوم یک شناسه‌ی صادرکننده‌ی غلط‌املا شده است که همه را مسدود می‌کند، از جمله مرجعی که قصد داشتید مجاز کنید. با یک تمدید واقعی آزمایش کنید. سومی این است که فراموش کنید یک رکورد CAA بالاتر برای یک زیردامنه‌ای که رکورد خاص خود را ندارد اعمال می‌شود، پس یک رأس محدودکننده می‌تواند تمدید زیردامنه را مسدود کند.
تغییر رکورد هرگز گواهی‌ای را که از قبل وجود دارد لغو نمی‌کند. اگر گواهی غیرمنتظره‌ای صادر شده، آن را یک حادثه بدانید و گام‌های نحوه‌ی ایمن‌سازی دامنه در برابر ربودن DNS را دنبال کنید. پاسخ ایمیلی در کمتر از 12 ساعت، هفت روز هفته، از جمله کمک برای DNSSEC، رکوردهای CAA و گزارش‌های سوءاستفاده، از جمله کمک در مورد رکوردهای CAA.
پرسش‌هایی درباره‌ی رکوردهای CAA
آیا رکورد CAA گواهی‌هایی را که پیش‌تر صادر شده لغو می‌کند؟
خیر. RFC 8659 می‌گوید CAA فقط مجوزهای فعلی را نشان می‌دهد، پس تغییر آن روی گواهی‌هایی که پیش‌تر صادر شده‌اند اثری ندارد.
آیا برای هر زیردامنه به یک رکورد CAA نیاز دارم؟
خیر. یک مرجع صدور تا رسیدن به یک مجموعه‌ی CAA به نام‌های والد بالا می‌رود، پس یک مجموعه در رأس، زیردامنه‌هایی را که رکورد خاص خود ندارند پوشش می‌دهد.
نقطه‌ویرگول در یک رکورد issue چه معنایی دارد؟
این یک صادرکننده‌ی خالی است و هر صدوری برای آن نام را ممنوع می‌کند. آن را روی دامنه‌هایی به کار ببرید که HTTPS سرو نمی‌کنند.
آیا مهاجم می‌تواند رکوردهای CAA مرا تغییر دهد؟
بله، اگر DNS یا حساب ثبت‌کننده‌ی شما را کنترل کند. به همین دلیل CAA در کنار یک حساب قفل‌شده و هشدارهای گواهی کار می‌کند.
آیا Wardmint از رکوردهای CAA پشتیبانی می‌کند؟
بله. DNS رایگان Wardmint از رکوردهای CAA پشتیبانی می‌کند و پشتیبانی در آن‌ها کمک می‌کند: پاسخ ایمیلی در کمتر از 12 ساعت، هفت روز هفته، از جمله کمک برای DNSSEC، رکوردهای CAA و گزارش‌های سوءاستفاده.
خلاصه
- یک رکورد CAA فهرست مراجع صدور گواهی‌ای را که برای یک دامنه مجازند مشخص می‌کند (RFC 8659).
- نحو: flags، برچسب، مقدار؛ برای مثال 0 issue به همراه مرجع در نقل‌قول.
- برای wildcard ها از issuewild و برای گزارش نقض از iodef استفاده کنید؛ نقطه‌ویرگول صدور را ممنوع می‌کند.
- یک CA تا رسیدن به یک مجموعه‌ی CAA به نام‌های والد بالا می‌رود؛ ریشه هرگز بررسی نمی‌شود.
- CAA روی گواهی‌هایی که پیش‌تر صادر شده‌اند اثری ندارد.
- Blockaid در فوریه 2026 گواهی‌هایی دید که در همان روز تغییر DNS در ربودن‌ها صادر شده بودند.
- DNS رایگان Wardmint از رکوردهای CAA روی هر دامنه پشتیبانی می‌کند.
منابع (2)
- RFC 8659: DNS Certification Authority Authorization (CAA) Resource Record — IETF / RFC Editor (خوانده‌شده 2026-11-12)
- ربودن رابط کاربری و سطح حمله Web2 که پروتکل‌های Web3 را تهدید می‌کند — Blockaid (خوانده‌شده 2026-11-12)