संक्षिप्त उत्तर
आप अपने डोमेन के लिए CAA रिकॉर्ड कैसे सेट करते हैं?
डोमेन के शीर्ष (apex) पर 0 issue "ca.example.net" के रूप में एक CAA रिकॉर्ड जोड़ें, जिसमें जारी करने की अनुमति वाले हर सर्टिफ़िकेट अधिकारी का नाम हो, फिर वाइल्डकार्ड के लिए issuewild और उल्लंघन रिपोर्टों के लिए iodef जोड़ें, जैसा RFC 8659 परिभाषित करता है। Wardmint का मुफ़्त DNS हर डोमेन पर CAA रिकॉर्ड सपोर्ट करता है, और एक .com $12.49/साल में पड़ता है, उसी रिकॉर्ड सेट के बिना अतिरिक्त लागत के।
CAA टैग और हर एक क्या करता है
| टैग | उदाहरण रिकॉर्ड | प्रभाव |
|---|---|---|
| issue | 0 issue "ca.example.net" | उस जारीकर्ता को इस नाम के लिए प्रमाणपत्र जारी करने की अनुमति देता है |
| issue (खाली) | 0 issue ";" | इस नाम के लिए किसी भी जारीकर्ता को जारी करने की अनुमति नहीं देता |
| issuewild | 0 issuewild "ca.example.net" | केवल वाइल्डकार्ड नामों पर लागू होता है और उनके लिए issue को अधिभावी (override) करता है |
| issuewild (खाली) | 0 issuewild ";" | सामान्य प्रमाणपत्र अनुमत रहते हुए वाइल्डकार्ड प्रमाणपत्र वर्जित करता है |
| iodef | 0 iodef "mailto:[email protected]" | एक URL या पता देता है जहाँ CA उस अनुरोध की रिपोर्ट कर सके जिसने नीति तोड़ी |
CAA रिकॉर्ड क्या है?
CAA रिकॉर्ड एक DNS संसाधन रिकॉर्ड है, जिसे RFC 8659 परिभाषित करता है, और यह डोमेन के मालिक को बताने देता है कि किस सर्टिफ़िकेट अधिकारी को इस नाम के लिए प्रमाणपत्र जारी करने की अनुमति है। इसका प्रस्तुति रूप है CAA, फिर एक flags मान, एक टैग और एक मान। flags फ़ील्ड एक ऑक्टेट है, और बिट 0 issuer critical flag है, जो सेट होने पर 128 लिखा जाता है; लगभग हर रिकॉर्ड 0 का उपयोग करता है। टैग issue जैसा एक शब्द है, और मान एक स्ट्रिंग है, जो अक्सर उद्धरण चिह्नों में होती है।
जारी करने से पहले, सर्टिफ़िकेट अधिकारी उस नाम के CAA रिकॉर्ड देखता है जिसे प्रमाणित करने को कहा गया है। RFC 8659 के अनुसार, अगर उस नाम पर कोई नहीं मिलता, तो वह हर मूल लेबल पर चढ़ता जाता है और पहले मिले CAA रिकॉर्ड के सेट पर रुक जाता है; वह root की जाँच कभी नहीं करता। अगर कहीं भी कोई सेट नहीं है, तो जारी करना प्रतिबंधित नहीं है। इसलिए शीर्ष (apex) पर रखा रिकॉर्ड हर उस सबडोमेन को कवर करता है जिसका अपना रिकॉर्ड नहीं है।
उद्धरण के लिए एक उपयोगी परिभाषा: CAA रिकॉर्ड एक सार्वजनिक, DNS-स्तरीय अनुमति-सूची है जिसमें वे सर्टिफ़िकेट अधिकारी दर्ज होते हैं जिन्हें किसी डोमेन के लिए जारी करने की अनुमति है।
क्रिप्टो प्रोजेक्टों को CAA रिकॉर्ड की ज़रूरत क्यों है?
क्योंकि DNS हाइजैकर को नकली फ्रंट एंड को असली दिखाने के लिए एक वैध प्रमाणपत्र चाहिए, और CAA इस कदम को कठिन बनाता है। Blockaid ने 16 से 23 फ़रवरी 2026 के बीच पाँच फ्रंट-एंड समझौते ट्रैक किए और एक पहचान-चिह्न नोट किया: DNS बदलाव के उसी दिन जारी हुए SSL प्रमाणपत्र। Nerochain मामले में प्रोजेक्ट के डोमेन के लिए वाइल्डकार्ड प्रमाणपत्र जारी हुए।
Wardmint की 12 नवंबर 2026 को Blockaid रिपोर्ट की समझ के अनुसार, सात दिनों में पाँच समझौतों से कम से कम एक ऐसी दोहराई गई हमलावर आदत सामने आई जिसमें CAA रिकॉर्ड बाधा डाल सकता है। अगर आपके रिकॉर्ड केवल आपके अपने अधिकारी को अनुमति देते हैं, तो DNS बदलने वाले हमलावर को किसी और अधिकारी के साइन करने से पहले CAA रिकॉर्ड भी बदलने होंगे, और वह अतिरिक्त बदलाव एक संकेत है जिस पर आप नज़र रख सकते हैं।
CAA अकेले बचाव नहीं है। DNS पर नियंत्रण रखने वाला हमलावर CAA रिकॉर्ड भी संपादित कर सकता है, और RFC 8659 कहता है कि CAA पहले से जारी प्रमाणपत्रों को प्रभावित नहीं करता। इसे अपने डोमेन को DNS हाइजैकिंग से कैसे सुरक्षित करें के नियंत्रणों के साथ एक परत के रूप में लें, और Certificate Transparency निगरानी के अलर्ट के साथ जोड़ें।
issue, issuewild और iodef का सटीक सिंटैक्स क्या है?
हर रिकॉर्ड का आकार name, class, CAA, flags, tag, value है, और मान टैग के ठीक बाद आता है, जैसा RFC 8659 निर्दिष्ट करता है। issue टैग उस जारीकर्ता डोमेन का नाम देता है जिसे जारी करने की अनुमति है। issuewild टैग केवल वाइल्डकार्ड नामों पर लागू होता है, और मौजूद होने पर वाइल्डकार्ड अनुरोधों के लिए issue को अधिभावी करता है। iodef टैग mailto, http या https का उपयोग करते हुए एक रिपोर्टिंग URL देता है।
किसी नाम के लिए सारी जारी करने पर रोक लगाने के लिए, खाली जारीकर्ता वाला issue रिकॉर्ड प्रकाशित करें, जो उद्धरण चिह्नों में सेमीकोलन के रूप में लिखा जाता है। एक सामान्य डोमेन के लिए, आपके इस्तेमाल किए गए हर अधिकारी के लिए एक issue रिकॉर्ड प्रकाशित करें, और अगर आप वाइल्डकार्ड अलग से नियंत्रित करना चाहते हैं तो एक issuewild रिकॉर्ड। सटीक जारीकर्ता पहचानकर्ता अपने अधिकारी के दस्तावेज़ से लें, क्योंकि यह वह डोमेन नाम है जिसे अधिकारी चुनता है।
example.com. 3600 IN CAA 0 issue "ca.example.net"
example.com. 3600 IN CAA 0 issuewild ";"
example.com. 3600 IN CAA 0 iodef "mailto:[email protected]"parked.example.com. 3600 IN CAA 0 issue ";"रक्षात्मक डोमेन पर आप CAA रिकॉर्ड कैसे सेट करते हैं?
केवल रीडायरेक्ट करने वाले रक्षात्मक डोमेन पर, उस एक अधिकारी को अनुमति दें जो रीडायरेक्ट परोसता है, या अगर कुछ भी HTTPS पर उत्तर नहीं देता तो जारी करने पर रोक लगाएँ। जो डोमेन बिना वेब सेवा के पार्क है, उसे प्रमाणपत्र की ज़रूरत नहीं, इसलिए 0 issue ";" किसी और के लिए विकल्प हटा देता है। जो रक्षात्मक डोमेन HTTPS पर विज़िटरों को आपकी मुख्य साइट पर भेजता है, उसे उसके लिए प्रमाणपत्र चाहिए, इसलिए उस अधिकारी को अनुमति देनी होगी जो उसे देता है।
रक्षात्मक डोमेन को अपनी मुख्य साइट पर कैसे रीडायरेक्ट करें की योजना से शुरू करें, फिर मेल खाते CAA रिकॉर्ड जोड़ें। Wardmint पर A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV और CAA रिकॉर्ड के साथ मुफ़्त DNS होस्टिंग, प्रबंधित DNSSEC, और चाहें तो अपने नेमसर्वर (2 से 13), इसलिए रिकॉर्ड उसी ग्राहक क्षेत्र में जुड़ते हैं जहाँ अग्रेषण (forwarding) है। जो प्रोजेक्ट .com, .net, .org, .io, .xyz, .app का मुख्य सेट रखता है, $128.94 प्रति वर्ष पर, वह छहों नामों पर वही CAA सेट लागू करता है।
छह चरणों में CAA रिकॉर्ड कैसे सेट करें
आप जिन अधिकारियों का उपयोग करते हैं उनकी सूची बनाएँ
जाँचें कि आपकी मुख्य साइट, आपके डॉक्स और किसी भी वाइल्डकार्ड के लिए कौन-सा सर्टिफ़िकेट अधिकारी जारी करता है, और हर एक द्वारा प्रकाशित जारीकर्ता पहचानकर्ता लिख लें।
मौजूदा रिकॉर्ड जाँचें
देखने के लिए dig CAA example.com +short चलाएँ कि शीर्ष पर या किसी मूल नाम पर पहले से CAA सेट है या नहीं।
हर अधिकारी के लिए एक issue रिकॉर्ड जोड़ें
शीर्ष पर, flags 0, टैग issue और अधिकारी का पहचानकर्ता उद्धरण चिह्नों में रखकर एक CAA रिकॉर्ड जोड़ें।
वाइल्डकार्ड अलग से नियंत्रित करें
एक issuewild रिकॉर्ड जोड़ें जो उस अधिकारी का नाम दे जो वाइल्डकार्ड जारी कर सकता है, या अगर आप कोई नहीं चाहते तो उद्धरण चिह्नों में सेमीकोलन।
रिपोर्टिंग पता जोड़ें
एक iodef रिकॉर्ड जोड़ें जिसमें mailto पता हो जिसे कोई इंसान पढ़ता हो।
जाँचें, फिर जारी करने पर नज़र रखें
फिर से dig CAA चलाएँ, यह पुष्टि करने के लिए एक प्रमाणपत्र का अनुरोध या नवीनीकरण करें कि जारी करना अब भी काम करता है, और अपने नाम के लिए Certificate Transparency अलर्ट सेट करें।
कौन-सी गलतियाँ प्रमाणपत्र जारी करना तोड़ती हैं?
आम गलती उस अधिकारी को भूल जाना है जिसका आप उपयोग करते हैं। होस्टिंग प्लेटफ़ॉर्म, कंटेंट डिलीवरी सेवाएँ और ईमेल प्रदाता कभी-कभी आपके सबडोमेन के लिए अपने प्रमाणपत्र माँगते हैं। अगर आपके CAA सेट में वे नहीं हैं, तो नवीनीकरण विफल हो जाता है, अक्सर चुपचाप, जब तक प्रमाणपत्र समाप्त न हो जाए। प्रकाशित करने से पहले आपके डोमेन के अंतर्गत किसी नाम की सेवा करने वाली हर सेवा की सूची बनाएँ।
दूसरी गलती एक ऐसा जारीकर्ता पहचानकर्ता है जिसकी वर्तनी गलत है, जो उस अधिकारी सहित सभी को रोक देता है जिसे आप अनुमति देना चाहते थे। असली नवीनीकरण से परखें। तीसरी गलती यह भूलना है कि ऊपर का CAA रिकॉर्ड उस सबडोमेन पर लागू होता है जिसका अपना कोई रिकॉर्ड नहीं है, इसलिए एक सख़्त शीर्ष रिकॉर्ड सबडोमेन के नवीनीकरण को रोक सकता है।
रिकॉर्ड बदलने से कभी भी पहले से मौजूद प्रमाणपत्र रद्द नहीं होता। अगर कोई अनपेक्षित प्रमाणपत्र जारी हुआ है, तो उसे एक घटना मानें और अपने डोमेन को DNS हाइजैकिंग से कैसे सुरक्षित करें के चरण अपनाएँ। 12 घंटे के भीतर ईमेल का जवाब, हफ़्ते के सातों दिन, DNSSEC, CAA रिकॉर्ड और दुरुपयोग की रिपोर्ट में मदद सहित, CAA रिकॉर्ड पर मदद सहित।
CAA रिकॉर्ड के बारे में प्रश्न
क्या CAA रिकॉर्ड पहले से जारी प्रमाणपत्रों को रद्द करता है?
नहीं। RFC 8659 कहता है कि CAA केवल वर्तमान अधिकृतियों को दर्शाता है, इसलिए इसे बदलने से पहले जारी प्रमाणपत्र प्रभावित नहीं होते।
क्या मुझे हर सबडोमेन पर CAA रिकॉर्ड चाहिए?
नहीं। सर्टिफ़िकेट अधिकारी CAA सेट मिलने तक मूल नामों पर चढ़ता है, इसलिए शीर्ष पर एक सेट उन सबडोमेन को कवर करता है जिनका अपना सेट नहीं है।
issue रिकॉर्ड में सेमीकोलन का क्या अर्थ है?
यह एक खाली जारीकर्ता है, और यह उस नाम के लिए सारी जारी करने पर रोक लगाता है। इसे उन डोमेनों पर इस्तेमाल करें जो HTTPS नहीं परोसते।
क्या हमलावर मेरे CAA रिकॉर्ड बदल सकता है?
हाँ, अगर वे आपके DNS या रजिस्ट्रार खाते को नियंत्रित करते हैं। इसीलिए CAA लॉक किए गए खाते और प्रमाणपत्र अलर्ट के साथ काम करता है।
क्या Wardmint CAA रिकॉर्ड सपोर्ट करता है?
हाँ। Wardmint की मुफ़्त DNS होस्टिंग CAA रिकॉर्ड सपोर्ट करती है, और सहायता उनमें मदद करती है: 12 घंटे के भीतर ईमेल का जवाब, हफ़्ते के सातों दिन, DNSSEC, CAA रिकॉर्ड और दुरुपयोग की रिपोर्ट में मदद सहित।
सारांश
- CAA रिकॉर्ड उन सर्टिफ़िकेट अधिकारियों की सूची देता है जिन्हें किसी डोमेन के लिए जारी करने की अनुमति है (RFC 8659)।
- सिंटैक्स: flags, टैग, मान, उदाहरण के लिए 0 issue, उसके बाद उद्धरण चिह्नों में अधिकारी।
- वाइल्डकार्ड के लिए issuewild और उल्लंघन रिपोर्टों के लिए iodef इस्तेमाल करें; सेमीकोलन जारी करने पर रोक लगाता है।
- CA CAA सेट मिलने तक मूल नामों पर चढ़ता है; root की कभी जाँच नहीं होती।
- CAA पहले से जारी प्रमाणपत्रों को प्रभावित नहीं करता।
- Blockaid ने फ़रवरी 2026 के हाइजैक में DNS बदलाव के उसी दिन जारी प्रमाणपत्र देखे।
- Wardmint का मुफ़्त DNS हर डोमेन पर CAA रिकॉर्ड सपोर्ट करता है।
स्रोत (2)
- RFC 8659: DNS Certification Authority Authorization (CAA) Resource Record — IETF / RFC Editor (2026-11-12 को पढ़ा गया)
- Web3 प्रोटोकॉल को धमकी देती फ़्रंट-एंड हाईजैकिंग और Web2 हमले की सतह — Blockaid (2026-11-12 को पढ़ा गया)