תשובה מהירה
איך מגדירים רשומות CAA לדומיין שלכם?
הוסיפו רשומת CAA בשורש הדומיין בצורה 0 issue "ca.example.net", ובה מפורטת כל רשות אישורים שמותר לה להנפיק, ואז הוסיפו issuewild עבור wildcards ו-iodef עבור דוחות הפרה, כפי ש-RFC 8659 מגדיר. ה-DNS החינמי של Wardmint תומך ברשומות CAA בכל דומיין, ו-.com עולה 12.49 $/שנה, עם אותה קבוצת רשומות ללא עלות נוספת.
תגי CAA ומה כל אחד עושה
| תג | רשומה לדוגמה | השפעה |
|---|---|---|
| issue | 0 issue "ca.example.net" | מתירה לאותה רשות להנפיק אישורים עבור השם |
| issue (ריק) | 0 issue ";" | אוסרת על כל רשות להנפיק עבור השם |
| issuewild | 0 issuewild "ca.example.net" | חלה רק על שמות wildcard ודורסת את issue עבורם |
| issuewild (ריק) | 0 issuewild ";" | אוסרת אישורי wildcard, בעוד אישורים רגילים נשארים מותרים |
| iodef | 0 iodef "mailto:[email protected]" | נותנת כתובת URL או דואר שאליהם רשות אישורים יכולה לדווח על בקשה ששברה את המדיניות |
מה זו רשומת CAA?
רשומת CAA היא רשומת משאב DNS, מוגדרת ב-RFC 8659, שמאפשרת לבעל הדומיין לרשום אילו רשויות אישורים רשאיות להנפיק אישורים עבור השם. הצורה הקנונית שלה היא CAA, ואחריה ערך flags, תג וערך. שדה ה-flags הוא אוקטט אחד, וביט 0 הוא דגל ה-issuer critical, שנכתב כ-128 כשהוא דלוק; כמעט כל רשומה משתמשת ב-0. התג הוא מילה כמו issue, והערך הוא מחרוזת, לרוב במירכאות.
לפני הנפקה, רשות אישורים בודקת את רשומות ה-CAA של השם שהתבקשה לאשר. אם אין כאלה באותו שם, היא עולה לכל תווית אב בתורה ועוצרת במערך הראשון של רשומות CAA שהיא מוצאת, לפי RFC 8659; היא לעולם לא בודקת את השורש. אם לא קיים מערך בשום מקום, ההנפקה אינה מוגבלת. לכן רשומה בשורש מכסה כל תת-דומיין שאין לו רשומה משלו.
הגדרה שימושית לציטוט: רשומת CAA היא רשימת הרשאות ציבורית, ברמת DNS, של רשויות האישורים שמורשות להנפיק עבור דומיין.
למה פרויקטים של קריפטו צריכים רשומות CAA?
כי תוקף DNS צריך אישור תקף כדי שהחזית המזויפת תיראה אמיתית, ו-CAA מקשה על הצעד הזה. Blockaid עקבה אחרי חמש פריצות לחזית בין 16 ל-23 בפברואר 2026 וציינה טביעת אצבע אחת: אישורי SSL שהונפקו באותו יום של שינוי ה-DNS. במקרה של Nerochain הונפקו אישורי wildcard עבור הדומיין של הפרויקט.
לפי הקריאה של Wardmint בדוח Blockaid ב-12 בנובמבר 2026, חמש פרצות בשבעה ימים יצרו לפחות הרגל אחת חוזרת של התוקפים, שרשומת CAA יכולה להפריע לה. אם הרשומות שלכם מתירות רק את הרשות שלכם, תוקף שמשנה את ה-DNS חייב לשנות גם את רשומות ה-CAA לפני שרשות אחרת תחתום, והשינוי הנוסף הזה הוא אות שאפשר לעקוב אחריו.
CAA אינה הגנה בפני עצמה. תוקף ששולט ב-DNS שלכם יכול לערוך גם את רשומות ה-CAA, ו-RFC 8659 קובע ש-CAA אינה משפיעה על אישורים שכבר הונפקו. התייחסו אליה כשכבה לצד הבקרות ב-איך לאבטח את הדומיין מפני הפניית DNS, והשלימו אותה בהתראות מ-ניטור Certificate Transparency.
מהו התחביר המדויק של issue, issuewild ו-iodef?
כל רשומה בנויה משם, מחלקה, CAA, flags, תג וערך, והערך בא אחרי התג בדיוק כפי ש-RFC 8659 מציין. תג issue מציין את דומיין הרשות שמורשית להנפיק. התג issuewild חל רק על שמות wildcard, וכשהוא קיים הוא דורס את issue לבקשות wildcard. התג iodef נותן כתובת דיווח בעזרת mailto, http או https.
כדי לאסור כל הנפקה לשם, פרסמו רשומת issue עם רשות ריקה, שנכתבת כנקודה-פסיק במירכאות. לדומיין רגיל, פרסמו רשומת issue אחת לכל רשות שאתם משתמשים בה, ורשומת issuewild אחת אם אתם רוצים לשלוט בנפרד ב-wildcards. קחו את מזהה הרשות המדויק מהתיעוד של הרשות, שכן זה שם דומיין שהרשות בוחרת.
example.com. 3600 IN CAA 0 issue "ca.example.net"
example.com. 3600 IN CAA 0 issuewild ";"
example.com. 3600 IN CAA 0 iodef "mailto:[email protected]"parked.example.com. 3600 IN CAA 0 issue ";"איך מגדירים רשומות CAA לדומיין הגנתי?
בדומיין הגנתי שרק מפנה, הרשו את הרשות האחת שמשרתת את ההפניה, או אסרו הנפקה אם שום דבר לא עונה ב-HTTPS. דומיין שמושבת בלי שירות אינטרנט לא צריך אישור, ולכן 0 issue ";" מסיר את האפשרות לכל מי שאחר. דומיין הגנתי שמעביר מבקרים לאתר הראשי שלכם ב-HTTPS צריך אישור עבור זה, ולכן חייבים להרשות את הרשות שמספקת אותו.
התחילו מהתוכנית ב-איך מפנים דומיינים הגנתיים לאתר הראשי שלכם, ואז הוסיפו את רשומות ה-CAA המתאימות. ב-Wardmint, אירוח DNS בחינם עם רשומות A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV ו-CAA, DNSSEC מנוהל, ושרתי השמות שלכם אם תעדיפו (2 עד 13), ולכן הרשומות נוספות באותו אזור לקוח שבו נמצאת ההעברה. פרויקט שמחזיק את הערכה הבסיסית של .com, .net, .org, .io, .xyz, .app, $128.94 בשנה, מחיל את אותו מערך CAA על כל שישה השמות.
איך מגדירים רשומות CAA בשישה שלבים
רשמו את הרשויות שאתם משתמשים בהן
בדקו איזו רשות אישורים מנפיקה עבור האתר הראשי שלכם, התיעוד שלכם וכל wildcard, ורשמו את מזהה המנפיק שכל אחת מפרסמת.
בדקו רשומות קיימות
הריצו dig CAA example.com +short כדי לראות אם כבר יש מערך CAA בשורש או בשם אב.
הוסיפו issue לכל רשות
בשורש, הוסיפו רשומת CAA עם flags 0, התג issue ומזהה הרשות במירכאות.
שלטו ב-wildcards בנפרד
הוסיפו רשומת issuewild שמציינת את הרשות שמורשית להנפיק wildcards, או נקודה-פסיק במירכאות אם אתם לא רוצים אף אחת.
הוסיפו כתובת לדיווח
הוסיפו רשומת iodef עם כתובת mailto שאדם קורא.
בדקו, ואז עקבו אחרי ההנפקה
הריצו שוב dig CAA, בקשו או חדשו אישור אחד כדי לוודא שההנפקה עדיין עובדת, והגדירו התראת Certificate Transparency לשם שלכם.
אילו טעויות שוברות הנפקת אישורים?
הטעות הנפוצה היא לציין רשות ששכחתם שאתם משתמשים בה. פלטפורמות אירוח, שירותי הפצת תוכן וספקי דואר מבקשים לפעמים אישורים משלהם עבור תתי-הדומיינים שלכם. אם מערך ה-CAA שלכם לא כולל אותם, החידוש נכשל, לרוב בשקט, עד שהאישור פוקע. רשמו כל שירות שמשרת שם תחת הדומיין שלכם לפני הפרסום.
טעות שנייה היא מזהה מנפיק עם שגיאת כתיב, שחוסם את כולם, כולל הרשות שרציתם להרשות. בדקו עם חידוש אמיתי. שלישית, שימו לב שרשומת CAA גבוהה יותר חלה על תת-דומיין בלי רשומות משלו, ולכן שורש מגביל יכול לחסום את החידוש של תת-דומיין.
שינוי הרשומה לעולם לא מבטל אישור שכבר קיים. אם הונפק אישור לא צפוי, התייחסו לזה כאירוע ועקבו אחרי השלבים ב-איך לאבטח את הדומיין מפני הפניית DNS. תשובות באימייל תוך 12 שעות, 7 ימים בשבוע, כולל עזרה ב-DNSSEC, ברשומות CAA ובדוחות שימוש לרעה, כולל עזרה ברשומות CAA.
שאלות על רשומות CAA
האם רשומת CAA מבטלת אישורים שכבר הונפקו?
לא. RFC 8659 קובע ש-CAA משקפת הרשאות נוכחיות בלבד, ולכן שינוי שלה לא משפיע על אישורים שהונפקו קודם.
האם אני צריך רשומת CAA בכל תת-דומיין?
לא. רשות אישורים עולה לשמות האב עד שהיא מוצאת מערך CAA, ולכן מערך אחד בשורש מכסה תת-דומיינים בלי משלהם.
מה נקודה-פסיק אומרת ברשומת issue?
זו רשות ריקה, והיא אוסרת כל הנפקה לשם. השתמשו בה בדומיינים שלא מגישים HTTPS.
האם תוקף יכול לשנות את רשומות ה-CAA שלי?
כן, אם הוא שולט ב-DNS שלכם או בחשבון הרשם שלכם. לכן CAA עובדת יחד עם חשבון נעול והתראות על אישורים.
האם Wardmint תומכת ברשומות CAA?
כן. אירוח ה-DNS החינמי של Wardmint תומך ברשומות CAA, והתמיכה עוזרת איתן: תשובות באימייל תוך 12 שעות, 7 ימים בשבוע, כולל עזרה ב-DNSSEC, ברשומות CAA ובדוחות שימוש לרעה.
לסיכום
- רשומת CAA מפרטת את רשויות האישורים שרשאיות להנפיק עבור דומיין (RFC 8659).
- תחביר: flags, תג, ערך, לדוגמה 0 issue ואחריו הרשות במירכאות.
- השתמשו ב-issuewild ל-wildcards וב-iodef לדוחות הפרה; נקודה-פסיק אוסרת הנפקה.
- CA עולה לשמות האב עד שהיא מוצאת מערך CAA; השורש לעולם לא נבדק.
- CAA אינה משפיעה על אישורים שכבר הונפקו.
- Blockaid ראתה אישורים שהונפקו באותו יום של שינוי ה-DNS בפרצות מפברואר 2026.
- ה-DNS החינמי של Wardmint תומך ברשומות CAA בכל דומיין.
מקורות (2)
- RFC 8659: DNS Certification Authority Authorization (CAA) Resource Record — IETF / RFC Editor (נקרא ב-2026-11-12)
- השתלטות על החזית ומשטח התקיפה של Web2 שמאיים על פרוטוקולי Web3 — Blockaid (נקרא ב-2026-11-12)