آپ اپنے ڈومین کے لیے CAA ریکارڈز کیسے ترتیب دیتے ہیں؟

CAA ریکارڈ کیا ہے؟

CAA ریکارڈ ایک DNS resource record ہے، جو RFC 8659 میں بیان ہے، اور یہ ڈومین کے مالک کو بتانے دیتا ہے کہ کون سی سرٹیفکیٹ اتھارٹیز اس نام کے لیے سرٹیفکیٹ جاری کر سکتی ہیں۔ اس کی presentation شکل CAA ہے، پھر ایک flags قدر، ایک tag اور ایک value۔ flags فیلڈ ایک octet ہے، اور bit 0 issuer critical flag ہے، جو سیٹ ہونے پر 128 لکھا جاتا ہے؛ تقریباً ہر ریکارڈ 0 استعمال کرتا ہے۔ tag issue جیسا ایک لفظ ہے، اور value ایک سٹرنگ ہے، جو اکثر کوٹ میں ہوتی ہے۔

جاری کرنے سے پہلے سرٹیفکیٹ اتھارٹی اس نام کے CAA ریکارڈز دیکھتی ہے جس کے لیے اسے سرٹیفکیٹ مانگا گیا ہے۔ اگر اس نام پر کوئی نہ ملے تو RFC 8659 کے مطابق وہ ہر parent label تک چڑھتی ہے اور پہلے CAA ریکارڈوں کے سیٹ پر رک جاتی ہے؛ وہ root کی جانچ کبھی نہیں کرتی۔ اگر کہیں بھی کوئی سیٹ نہ ہو تو جاری کرنے پر کوئی پابندی نہیں۔ اس لیے apex پر ایک ریکارڈ ان تمام سب ڈومینز کو کور کرتا ہے جن کا اپنا ریکارڈ نہیں۔

حوالے کے لیے ایک مفید تعریف: CAA ریکارڈ ایک عوامی، DNS سطح کی allow-list ہے ان سرٹیفکیٹ اتھارٹیز کی جنہیں کسی ڈومین کے لیے جاری کرنے کی اجازت ہے۔

کریپٹو پروجیکٹس کو CAA ریکارڈز کی ضرورت کیوں ہے؟

کیونکہ DNS ہائی جیکر کو جعلی فرنٹ اینڈ کو اصلی دکھانے کے لیے ایک درست سرٹیفکیٹ چاہیے، اور CAA یہ قدم مشکل بناتا ہے۔ Blockaid نے 16 تا 23 فروری 2026 کے درمیان پانچ فرنٹ اینڈ سمجھوتے ٹریک کیے اور ایک نشان نوٹ کیا: DNS تبدیلی کے اسی دن جاری کیے گئے SSL سرٹیفکیٹس۔ Nerochain کیس میں پروجیکٹ کے ڈومین کے لیے وائلڈ کارڈ سرٹیفکیٹس جاری ہوئے۔

Wardmint کی 12 نومبر 2026 کی Blockaid رپورٹ کی تشریح کے مطابق سات دن میں پانچ سمجھوتوں نے کم از کم ایک بار دہرائی جانے والی حملہ آور عادت پیدا کی جس میں CAA ریکارڈ مداخلت کر سکتا ہے۔ اگر آپ کے ریکارڈ صرف آپ کی اپنی اتھارٹی کی اجازت دیں، تو DNS بدلنے والے حملہ آور کو دوسری اتھارٹی کے دستخط سے پہلے CAA ریکارڈ بھی بدلنے ہوں گے، اور یہ اضافی تبدیلی ایک ایسا اشارہ ہے جس پر نظر رکھی جا سکتی ہے۔

CAA اپنے طور پر کوئی دفاع نہیں۔ جو حملہ آور آپ کے DNS کو کنٹرول کرتا ہے وہ CAA ریکارڈز بھی بدل سکتا ہے، اور RFC 8659 بتاتا ہے کہ CAA پہلے سے جاری شدہ سرٹیفکیٹس پر اثر نہیں ڈالتا۔ اسے DNS ہائی جیکنگ سے اپنا ڈومین کیسے محفوظ کریں کے کنٹرولز کے ساتھ ایک تہہ سمجھیں، اور certificate transparency مانیٹرنگ کے الرٹس کے ساتھ جوڑیں۔

issue، issuewild اور iodef کا درست نحو کیا ہے؟

ہر ریکارڈ کی شکل name، class، CAA، flags، tag، value ہے، اور value tag کے بعد بالکل RFC 8659 کے مطابق آتی ہے۔ issue tag وہ issuer ڈومین نامزد کرتا ہے جسے جاری کرنے کی اجازت ہے۔ issuewild tag صرف وائلڈ کارڈ ناموں پر لاگو ہوتا ہے، اور موجود ہونے پر وائلڈ کارڈ درخواستوں کے لیے issue کو بدل دیتا ہے۔ iodef tag mailto، http یا https استعمال کرتے ہوئے رپورٹنگ URL دیتا ہے۔

کسی نام کے لیے ہر طرح کا جاری کرنا روکنے کے لیے، ایک issue ریکارڈ شائع کریں جس کا issuer خالی ہو، جو کوٹ میں سیمی کولن کے طور پر لکھا جاتا ہے۔ عام ڈومین کے لیے ہر استعمال شدہ اتھارٹی کا ایک issue ریکارڈ شائع کریں، اور اگر وائلڈ کارڈز الگ کنٹرول کرنے ہوں تو ایک issuewild ریکارڈ۔ درست issuer شناخت اپنی اتھارٹی کی دستاویزات سے لیں، کیونکہ یہ وہ ڈومین نام ہے جسے اتھارٹی خود منتخب کرتی ہے۔

example.com.  3600  IN  CAA  0 issue "ca.example.net"
example.com.  3600  IN  CAA  0 issuewild ";"
example.com.  3600  IN  CAA  0 iodef "mailto:[email protected]"

parked.example.com.  3600  IN  CAA  0 issue ";"

دفاعی ڈومین پر CAA ریکارڈز کیسے ترتیب دیں؟

ایک دفاعی ڈومین جو صرف ری ڈائریکٹ کرتا ہے، اس ایک اتھارٹی کی اجازت دے جو ری ڈائریکٹ فراہم کرتی ہے، یا اگر HTTPS پر کوئی جواب نہ دے تو جاری کرنے کی ممانعت کرے۔ جو ڈومین کسی ویب سروس کے بغیر پارک ہو اسے سرٹیفکیٹ کی ضرورت نہیں، اس لیے 0 issue ";" کسی اور کے لیے یہ آپشن ہٹا دیتا ہے۔ جو دفاعی ڈومین HTTPS پر آنے والے وزیٹرز کو آپ کی مرکزی سائٹ پر بھیجتا ہے، اسے اس کے لیے سرٹیفکیٹ چاہیے، اس لیے اسے وہ اتھارٹی اجازت دینی ہوگی جو سرٹیفکیٹ فراہم کرتی ہے۔

ری ڈائریکٹ کرنے والا منصوبہ دفاعی ڈومینز کو مرکزی سائٹ پر کیسے ری ڈائریکٹ کریں میں ہے؛ پھر مماثل CAA ریکارڈز شامل کریں۔ Wardmint پر A، AAAA، CNAME، ALIAS، MX، TXT، NS، SRV اور CAA ریکارڈز کے ساتھ مفت DNS ہوسٹنگ، منظم DNSSEC، اور اگر آپ چاہیں تو اپنے نیم سرورز (2 سے 13)، اس لیے ریکارڈز اسی کلائنٹ ایریا میں شامل ہوتے ہیں جہاں فارورڈنگ ہے۔ جو پروجیکٹ .com, .net, .org, .io, .xyz, .app کا بنیادی سیٹ، $128.94 سالانہ پر رکھتا ہے، وہ وہی CAA سیٹ چھ ناموں پر لاگو کرتا ہے۔

کون سی غلطیاں سرٹیفکیٹ جاری کرنے کو توڑتی ہیں؟

عام غلطی ایسی اتھارٹی کا نام لینا ہے جسے آپ استعمال کرنا بھول گئے۔ Hosting پلیٹ فارمز، content delivery سروسز اور ای میل فراہم کنندگان کبھی کبھی آپ کے سب ڈومینز کے لیے اپنے سرٹیفکیٹ خود درخواست کرتے ہیں۔ اگر آپ کا CAA سیٹ انہیں چھوڑ دے تو تجدید ناکام ہوتی ہے، اکثر خاموشی سے، یہاں تک کہ سرٹیفکیٹ ختم ہو جائے۔ شائع کرنے سے پہلے آپ کے ڈومین کے تحت ہر نام کی خدمت کرنے والی ہر سروس کی فہرست بنائیں۔

دوسری غلطی issuer شناخت میں املا کی غلطی ہے، جو ہر کسی کو روکتی ہے، بشمول اس اتھارٹی کے جسے آپ اجازت دینا چاہتے تھے۔ ایک حقیقی تجدید سے جانچیں۔ تیسری غلطی یہ بھول ہے کہ اوپر والا CAA ریکارڈ ان سب ڈومینز پر لاگو ہوتا ہے جن کا اپنا ریکارڈ نہ ہو، اس لیے سخت apex ایک سب ڈومین کی تجدید روک سکتا ہے۔

ریکارڈ بدلنے سے پہلے سے موجود سرٹیفکیٹ کبھی منسوخ نہیں ہوتا۔ اگر کوئی غیر متوقع سرٹیفکیٹ جاری ہوا ہو تو اسے واقعہ سمجھیں اور DNS ہائی جیکنگ سے اپنا ڈومین کیسے محفوظ کریں کے مراحل پر عمل کریں۔ ای میل کے جواب 12 گھنٹوں کے اندر، ہفتے کے 7 دن، بشمول DNSSEC، CAA ریکارڈز اور abuse رپورٹس میں مدد، جس میں CAA ریکارڈز کی مدد شامل ہے۔