解説

DNS CAAレコード（Certification Authority Authorization）はRFC 8659で規定されたDNSリソースレコードの一種で、ドメイン所有者が「どの認証局（CA）に対して自ドメインのSSL/TLS証明書の発行を許可するか」を指定できます。例えば「CAA 0 issue 'letsencrypt.org'」というCAAレコードを設定すると、Let's Encrypt以外のCAはそのドメインの証明書を発行してはならないという制限が課されます。CA/Browser Forumのルールにより、CAはCAAレコードを確認してから証明書を発行することが義務付けられています（2017年9月以降）。これにより、正規ドメインの不正な証明書（なりすまし証明書）の発行を防止できます。例えば攻撃者がCAに対して正規ドメインの証明書を不正に申請しようとした場合、CAAレコードでの制限によって発行が阻止されます。

なぜ他の選択肢は違うのか

選択肢 ア

「WebサイトにアクセスしたときのWebブラウザに鍵マークが表示されていれば当該サイトが安全であることを利用者が確認できる」はHTTPS/TLS接続に関する一般的な説明です。CAAレコードはサーバ側のDNS設定であり、ユーザーのブラウザ表示とは無関係です。鍵マークはEV証明書等の種類に応じて表示が異なりますが、CAAレコードの効果ではありません。

選択肢 イ

「WebサイトにアクセスするURLを短縮することによって、利用者のURLの誤入力を防ぐ」はURL短縮サービスや短いドメイン利用の効果であり、CAAレコードとは無関係です。CAAレコードは証明書発行の制限に関するDNSレコードです。

選択肢 ウ

「電子メールを受信するサーバでスパムメールと誤検知されないようにする」はSPF・DKIM・DMARCなどのメール認証技術の説明に近いものです。CAAレコードはSSL/TLS証明書の発行制御に関するDNSレコードであり、メールスパム対策とは無関係です。

解くときのポイント

DNS CAAレコード＝「ドメインのSSL証明書を発行できるCAを指定するDNSレコード」。不正証明書発行防止が目的。類似のDNSセキュリティレコード：SPFレコード（メール送信元認証）、DKIMレコード（メール署名）、DMARCレコード（メール認証ポリシー）、TLSAレコード（DANE：証明書のDNSへの固定）。