คำตอบสั้น ๆ
คุณจะตั้งค่าระเบียน CAA ให้โดเมนของคุณอย่างไร?
เพิ่มระเบียน CAA ที่ apex ของโดเมนในรูปแบบ 0 issue "ca.example.net" โดยระบุหน่วยงานใบรับรองแต่ละแห่งที่อนุญาตให้ออกใบรับรอง จากนั้นเพิ่ม issuewild สำหรับ wildcard และ iodef สำหรับรายงานการละเมิด ตามที่ RFC 8659 กำหนด Wardmint DNS ฟรีรองรับระเบียน CAA บนทุกโดเมน และ .com มีค่าใช้จ่าย US$12.49/ปี โดยชุดระเบียนเดียวกันไม่มีค่าใช้จ่ายเพิ่ม
แท็ก CAA และหน้าที่ของแต่ละแท็ก
| แท็ก | ตัวอย่างระเบียน | ผล |
|---|---|---|
| issue | 0 issue "ca.example.net" | อนุญาตให้ผู้ออกใบรับรองนั้นออกใบรับรองให้ชื่อดังกล่าว |
| issue (ว่าง) | 0 issue ";" | ไม่อนุญาตให้ผู้ออกใบรับรองรายใดออกใบรับรองให้ชื่อนั้น |
| issuewild | 0 issuewild "ca.example.net" | ใช้เฉพาะกับชื่อ wildcard และแทนที่ issue สำหรับชื่อเหล่านั้น |
| issuewild (ว่าง) | 0 issuewild ";" | ห้ามใบรับรอง wildcard ส่วนใบรับรองปกติยังออกได้ |
| iodef | 0 iodef "mailto:[email protected]" | ระบุ URL หรือที่อยู่ที่ CA สามารถรายงานคำขอที่ฝ่าฝืนนโยบายได้ |
ระเบียน CAA คืออะไร?
ระเบียน CAA คือ DNS resource record ที่กำหนดใน RFC 8659 ซึ่งให้เจ้าของโดเมนระบุว่าหน่วยงานใบรับรองใดออกใบรับรองให้ชื่อนี้ได้บ้าง รูปแบบการแสดงคือ CAA ตามด้วยค่า flags แท็ก และค่า ฟิลด์ flags เป็นหนึ่งออกเตต บิต 0 คือ issuer critical flag ซึ่งเขียนเป็น 128 เมื่อกำหนดไว้ เกือบทุกระเบียนใช้ 0 แท็กคือคำ เช่น issue และค่าคือสตริง มักอยู่ในเครื่องหมายคำพูด
ก่อนออกใบรับรอง หน่วยงานใบรับรองจะค้นหาระเบียน CAA ของชื่อที่ถูกขอให้รับรอง หากไม่พบที่ชื่อนั้น จะไล่ขึ้นไปยังป้ายชื่อแม่ทีละระดับ และหยุดที่ชุดระเบียน CAA ชุดแรกที่พบ ตาม RFC 8659 และจะไม่ตรวจที่ root หากไม่มีชุดใดเลย การออกใบรับรองจะไม่ถูกจำกัด ดังนั้นระเบียนที่ apex จึงครอบคลุมทุกซับโดเมนที่ไม่มีระเบียนของตัวเอง
นิยามที่ใช้อ้างอิงได้: ระเบียน CAA คือรายการอนุญาตระดับ DNS ที่เปิดเผยต่อสาธารณะของหน่วยงานใบรับรองที่ได้รับอนุญาตให้ออกใบรับรองสำหรับโดเมน
ทำไมโปรเจกต์คริปโตจึงต้องมีระเบียน CAA?
เพราะผู้แฮ็ก DNS ต้องการใบรับรองที่ถูกต้องเพื่อทำให้หน้าเว็บปลอมดูเป็นของจริง และ CAA ทำให้ขั้นตอนนั้นยากขึ้น Blockaid ติดตามการโจมตีหน้าเว็บฝั่งผู้ใช้ห้ากรณีระหว่างวันที่ 16 ถึง 23 กุมภาพันธ์ 2026 และสังเกตลายนิ้วมือหนึ่งอย่าง คือใบรับรอง SSL ที่ออกในวันเดียวกับการเปลี่ยน DNS ในกรณีของ Nerochain มีการออกใบรับรอง wildcard ให้โดเมนของโปรเจกต์
ตามการอ่านรายงานของ Blockaid โดย Wardmint ณ วันที่ 12 พฤศจิกายน 2026 การโจมตีห้ารายการในเจ็ดวันสร้างนิสัยของผู้โจมตีอย่างน้อยหนึ่งอย่างที่ระเบียน CAA สามารถขัดขวางได้ หากระเบียนของคุณอนุญาตเฉพาะหน่วยงานของคุณเอง ผู้โจมตีที่เปลี่ยน DNS ก็ต้องเปลี่ยนระเบียน CAA ก่อนที่หน่วยงานอื่นจะเซ็นให้ และการเปลี่ยนนั้นเป็นสัญญาณที่คุณเฝ้าดูได้
CAA ไม่ใช่การป้องกันแบบเดี่ยว ผู้โจมตีที่ควบคุม DNS ของคุณสามารถแก้ระเบียน CAA ได้เช่นกัน และ RFC 8659 ระบุว่า CAA ไม่กระทบใบรับรองที่ออกไปแล้ว ให้ถือเป็นชั้นหนึ่งที่อยู่ถัดจากการควบคุมใน วิธีป้องกันโดเมนจากการแฮ็ก DNS และใช้คู่กับการแจ้งเตือนจาก การติดตาม certificate transparency
ไวยากรณ์ที่แน่นอนของ issue, issuewild และ iodef คืออะไร?
ระเบียนแต่ละรายการมีรูปแบบ ชื่อ คลาส CAA flags แท็ก และค่า โดยค่าตามหลังแท็กตามที่ RFC 8659 กำหนดไว้ แท็ก issue ระบุโดเมนของผู้ออกที่ได้รับอนุญาตให้ออกใบรับรอง แท็ก issuewild ใช้กับชื่อ wildcard เท่านั้น และเมื่อมีอยู่จะแทนที่ issue สำหรับคำขอ wildcard แท็ก iodef ระบุ URL สำหรับรายงาน ใช้ mailto, http หรือ https ได้
หากต้องการห้ามออกใบรับรองทั้งหมดสำหรับชื่อหนึ่ง ให้เผยแพร่ระเบียน issue ที่มีผู้ออกว่างซึ่งเขียนเป็นเครื่องหมายเซมิโคลอนในเครื่องหมายคำพูด สำหรับโดเมนทั่วไป ให้เผยแพร่ระเบียน issue หนึ่งรายการต่อหน่วยงานที่คุณใช้ และระเบียน issuewild หนึ่งรายการหากต้องการควบคุม wildcard แยกต่างหาก ใช้ตัวระบุผู้ออกที่แน่นอนจากเอกสารของหน่วยงาน เพราะเป็นชื่อโดเมนที่หน่วยงานนั้นเลือก
example.com. 3600 IN CAA 0 issue "ca.example.net"
example.com. 3600 IN CAA 0 issuewild ";"
example.com. 3600 IN CAA 0 iodef "mailto:[email protected]"parked.example.com. 3600 IN CAA 0 issue ";"คุณจะตั้งค่าระเบียน CAA บนโดเมนป้องกันได้อย่างไร?
บนโดเมนป้องกันที่ทำหน้าที่เปลี่ยนเส้นทางเท่านั้น ให้อนุญาตหน่วยงานเดียวที่ให้บริการการเปลี่ยนเส้นทาง หรือห้ามการออกใบรับรองหากไม่มีอะไรตอบสนองผ่าน HTTPS โดเมนที่พาร์กไว้โดยไม่มีบริการเว็บไม่ต้องมีใบรับรอง ดังนั้น 0 issue ";" จึงตัดตัวเลือกนั้นออกสำหรับทุกคน โดเมนป้องกันที่ส่งผู้เข้าชมไปยังเว็บหลักผ่าน HTTPS ต้องมีใบรับรองสำหรับสิ่งนั้น จึงต้องอนุญาตหน่วยงานที่ให้ใบรับรองนั้น
เริ่มจากแผนใน วิธีเปลี่ยนเส้นทางโดเมนป้องกันไปยังเว็บหลักของคุณ แล้วเพิ่มระเบียน CAA ที่ตรงกัน บน Wardmint DNS ฟรีพร้อมระเบียน A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV และ CAA, DNSSEC แบบจัดการให้ และเนมเซิร์ฟเวอร์ของคุณเองหากต้องการ (2 ถึง 13) จึงเพิ่มระเบียนในพื้นที่ลูกค้าเดียวกับการส่งต่อ โปรเจกต์ที่ถือชุดหลักของ .com, .net, .org, .io, .xyz, .app ราคา $128.94 ต่อปี ใช้ชุด CAA เดียวกันกับชื่อทั้งหกรายการ
วิธีตั้งค่าระเบียน CAA ใน 6 ขั้นตอน
ลิสต์หน่วยงานที่คุณใช้
ตรวจว่าหน่วยงานใบรับรองใดออกใบรับรองให้เว็บหลัก เอกสาร และ wildcard ของคุณ และบันทึกตัวระบุผู้ออกที่แต่ละรายเผยแพร่
ตรวจระเบียนที่มีอยู่
รัน dig CAA example.com +short เพื่อดูว่ามีชุด CAA อยู่แล้วที่ apex หรือที่ชื่อแม่หรือไม่
เพิ่มระเบียน issue ต่อหน่วยงาน
ที่ apex ให้เพิ่มระเบียน CAA ที่มี flags 0 แท็ก issue และตัวระบุของหน่วยงานในเครื่องหมายคำพูด
ควบคุม wildcard แยกต่างหาก
เพิ่มระเบียน issuewild ที่ระบุหน่วยงานที่ออก wildcard ได้ หรือเครื่องหมายเซมิโคลอนในเครื่องหมายคำพูดหากไม่ต้องการ wildcard เลย
เพิ่มที่อยู่สำหรับรายงาน
เพิ่มระเบียน iodef พร้อมที่อยู่ mailto ที่มีคนอ่าน
ทดสอบ แล้วเฝ้าดูการออกใบรับรอง
รัน dig CAA อีกครั้ง ขอหรือต่ออายุใบรับรองหนึ่งฉบับเพื่อยืนยันว่าการออกยังทำงานอยู่ และตั้งการแจ้งเตือน Certificate Transparency สำหรับชื่อของคุณ
ความผิดพลาดแบบใดที่ทำให้การออกใบรับรองล้มเหลว?
ความผิดพลาดที่พบบ่อยคือการระบุหน่วยงานที่คุณลืมว่ากำลังใช้ แพลตฟอร์มโฮสติ้ง บริการเครือข่ายส่งเนื้อหา และผู้ให้บริการอีเมลบางครั้งขอใบรับรองของตนเองสำหรับซับโดเมนของคุณ หากชุด CAA ของคุณไม่รวมพวกเขา การต่ออายุจะล้มเหลว มักเงียบ ๆ จนใบรับรองหมดอายุ ให้ลิสต์บริการทุกตัวที่ให้บริการชื่อภายใต้โดเมนของคุณก่อนเผยแพร่
ความผิดพลาดที่สองคือตัวระบุผู้ออกที่สะกดผิด ซึ่งจะบล็อกทุกคน รวมถึงหน่วยงานที่คุณตั้งใจอนุญาต ทดสอบด้วยการต่ออายุจริง ข้อที่สามคือการลืมว่าระเบียน CAA ที่อยู่สูงกว่าใช้กับซับโดเมนที่ไม่มีระเบียนของตัวเอง ดังนั้น apex ที่เข้มงวดอาจบล็อกการต่ออายุของซับโดเมนได้
การเปลี่ยนระเบียนไม่ได้เพิกถอนใบรับรองที่มีอยู่แล้ว หากมีใบรับรองที่ไม่คาดคิดถูกออก ให้ถือเป็นเหตุการณ์และทำตามขั้นตอนใน วิธีป้องกันโดเมนจากการแฮ็ก DNS ตอบอีเมลภายใน 12 ชั่วโมง 7 วันต่อสัปดาห์ รวมถึงความช่วยเหลือเรื่อง DNSSEC, ระเบียน CAA และรายงานการละเมิด รวมถึงความช่วยเหลือเรื่องระเบียน CAA
คำถามเกี่ยวกับระเบียน CAA
ระเบียน CAA ยกเลิกใบรับรองที่ออกไปแล้วหรือไม่?
ไม่ RFC 8659 ระบุว่า CAA สะท้อนการอนุญาตปัจจุบันเท่านั้น ดังนั้นการเปลี่ยนไม่กระทบใบรับรองที่ออกไปก่อนหน้า
ต้องมีระเบียน CAA บนทุกซับโดเมนหรือไม่?
ไม่ต้อง หน่วยงานใบรับรองจะไล่ขึ้นไปยังชื่อแม่จนพบชุด CAA ดังนั้นหนึ่งชุดที่ apex ครอบคลุมซับโดเมนที่ไม่มีของตัวเอง
เครื่องหมายเซมิโคลอนในระเบียน issue หมายความว่าอะไร?
หมายถึงผู้ออกว่าง และห้ามการออกใบรับรองทั้งหมดสำหรับชื่อนั้น ใช้กับโดเมนที่ไม่ให้บริการ HTTPS
ผู้โจมตีแก้ระเบียน CAA ของฉันได้หรือไม่?
ได้ หากพวกเขาควบคุม DNS หรือบัญชีรีจิสทราร์ของคุณ นั่นคือเหตุผลที่ CAA ทำงานร่วมกับบัญชีที่ล็อกและการแจ้งเตือนใบรับรอง
Wardmint รองรับระเบียน CAA หรือไม่?
รองรับ DNS ฟรีของ Wardmint รองรับระเบียน CAA และฝ่ายสนับสนุนช่วยเรื่องนี้ได้: ตอบอีเมลภายใน 12 ชั่วโมง 7 วันต่อสัปดาห์ รวมถึงความช่วยเหลือเรื่อง DNSSEC, ระเบียน CAA และรายงานการละเมิด
สรุป
- ระเบียน CAA ระบุหน่วยงานใบรับรองที่ได้รับอนุญาตให้ออกใบรับรองสำหรับโดเมน (RFC 8659)
- ไวยากรณ์: flags, แท็ก, ค่า เช่น 0 issue ตามด้วยหน่วยงานในเครื่องหมายคำพูด
- ใช้ issuewild สำหรับ wildcard และ iodef สำหรับรายงานการละเมิด เครื่องหมายเซมิโคลอนห้ามการออกใบรับรอง
- CA ไล่ขึ้นไปยังชื่อแม่จนพบชุด CAA และจะไม่ตรวจที่ root
- CAA ไม่กระทบใบรับรองที่ออกไปแล้ว
- Blockaid พบใบรับรองที่ออกในวันเดียวกับการเปลี่ยน DNS ในการแฮ็กเดือนกุมภาพันธ์ 2026
- DNS ฟรีของ Wardmint รองรับระเบียน CAA บนทุกโดเมน
แหล่งที่มา (2)
- RFC 8659: DNS Certification Authority Authorization (CAA) Resource Record — IETF / RFC Editor (อ่านเมื่อ 2026-11-12)
- การยึดฝั่ง frontend และพื้นผิวการโจมตี Web2 ที่คุกคามโปรโตคอล Web3 — Blockaid (อ่านเมื่อ 2026-11-12)