فاحص سجل CAA

ما هو سجل CAA؟

سجل CAA ‏(RFC 8659) يحدد جهات إصدار الشهادات المسموح لها بإصدار شهادات لنطاق ما: issue للشهادات العادية، وissuewild لشهادات النطاقات الفرعية الشاملة (wildcard)، وiodef للجهة التي تُبلَّغ بالمخالفات. وعلى جهات الإصدار الموثوقة عامةً أن تفحصه قبل الإصدار: تنظر في الاسم ثم تصعد إلى النطاقات الأم، وأقرب مجموعة CAA تجدها هي التي تُطبَّق، فإن لم تجد أي سجل جاز لأي جهة أن تُصدر.

كيفية استخدام فاحص سجل CAA

1. اكتب الاسم الذي تُصدَر له الشهادة — www.example.com، أو example.com لشهادة wildcard ‏(*.example.com).
2. اكتب إن شئت نطاق CAA لجهة إصدار لاختبارها، مثل letsencrypt.org.
3. اضغط «فحص CAA» واقرأ أي اسم تنطبق مجموعة CAA الخاصة به ومن يحق له الإصدار.
4. اقرأ الاكتشافات، ولتغيير السياسة عدّل سجلات CAA عند الاسم المعروض ثم أعد الفحص.

مزايا فاحص سجل CAA

• تنفيذ الصعود الذي يصفه RFC 8659 نيابةً عنك: الاسم أولاً، ثم كل نطاق أم حتى العثور على مجموعة CAA
• بيان الاسم الذي تنطبق مجموعة CAA الخاصة به، وكل سجل فيها مع الأعلام والخاصية والقيمة ومعناها
• من يحق له إصدار الشهادات العادية ومن يحق له إصدار شهادات wildcard، مع تقديم issuewild على issue كما يشترط المعيار
• اختبار اختياري لجهة إصدار واحدة: أدخل النطاق الذي توثّقه لسجلات CAA ‏(letsencrypt.org أو pki.goog أو digicert.com…) لتعرف هل يحق لها الإصدار
• التنبيه إلى الإعدادات التي تمنع الإصدار: issue ";" والقيم المعطوبة والخصائص غير المعروفة الموسومة بأنها حرجة
• عرض معاملات accounturi وvalidationmethods ‏(RFC 8657) وعناوين تقارير iodef كما نُشرت
• الاستعلام الفاشل يوقف الصعود ويُعرض على أنه مجهول، لا على أنه «لا يوجد CAA» أبداً — ويُعرض حدّ الطلبات أو انتهاء المهلة أثناء الصعود على حقيقته، لا على أنه عطل في DNS لديك

المدخلات والمخرجات

المدخلات

• اسم النطاق أو المضيف — الاسم الذي تغطيه الشهادة؛ ولشهادة wildcard ‏(*.example.com) يبدأ الصعود من example.com، وتُحذف البادئة "*." تلقائياً.
• جهة الإصدار المراد اختبارها (اختياري) — نطاق CAA الخاص بها كما توثّقه، مثل letsencrypt.org أو pki.goog أو sectigo.com أو digicert.com.

المخرجات

• الملخص — الاسم الذي تنطبق مجموعة CAA الخاصة به، وعدد الجهات التي يحق لها إصدار الشهادات العادية وشهادات wildcard، أو «أي جهة».
• الأسماء المفحوصة — كل اسم في الصعود مع نتيجته: عُثر على سجلات، أو لا توجد سجلات، أو اسم مستعار بلا سجلات، أو NXDOMAIN، أو استعلام فاشل.
• سجلات CAA المطبَّقة — كل سجل مع أعلامه وخاصيته وقيمته ومعناه.
• من يحق له الإصدار — نطاقات الجهات المسموح لها بالشهادات العادية وبشهادات wildcard، وعناوين iodef.
• الاكتشافات وما الخطوة التالية — التقييم بلغة واضحة، ومنه الجواب عن جهة الإصدار التي اختبرتها.

مثال على فاحص سجل CAA

docs.github.com

مجموعة CAA المطبَّقة: github.com (وُجدت عند نطاق أم) · الشهادات: 4 · شهادات wildcard: ‏3
الأسماء المفحوصة: docs.github.com — لا توجد سجلات CAA · github.com — عُثر على سجلات CAA
من يحق له الإصدار — الشهادات: digicert.com, globalsign.com, letsencrypt.org, sectigo.com · شهادات wildcard: digicert.com, letsencrypt.org, sectigo.com · تقارير المخالفات (iodef): —
الاكتشافات: ليس للاسم سجلات CAA خاصة به، فتنطبق عليه المجموعة المنشورة عند نطاق أم — github.com

كيف تقرأ نتائج فاحص سجل CAA

«أي جهة»: لا تنطبق أي مجموعة CAA، أو أن المجموعة خالية من issue وissuewild؛ فلا يقيّد CAA الإصدار، ويجوز لأي جهة موثوقة عامةً تتحقق من نطاقك أن تُصدر.

قائمة جهات: لا يحق الإصدار للاسم إلا لهذه الجهات، والجهة الغائبة عن القائمة يجب أن ترفض — بما فيها جهة تعتمد عليها شبكة توزيع المحتوى أو الاستضافة لديك.

«لا جهة»: المجموعة تمنع الإصدار — issue ";" للشهادات العادية، أو issuewild ";" لشهادات wildcard، أو خاصية حرجة لا تفهمها جهة الإصدار.

وُجدت عند نطاق أم: ليس للاسم سجلات خاصة به فيرث مجموعة النطاق الأم. لا تُضف سجلات عند الاسم إلا إذا احتاج سياسة مختلفة.

«مجهولة — فشل استعلام»: أجاب المحلّل بـ SERVFAIL أو REFUSED أو بخطأ آخر عن أحد أسماء الصعود. وقد ترفض جهة الإصدار التي تواجه الخطأ نفسه أن تُصدر، فأصلح DNS أولاً.

«مجهولة — لم يكتمل الفحص» أو «مجهولة — توقف الصعود قبل نهايته»: أوقف أحدَ الاستعلامات حدٌّ للطلبات أو انتهاءُ مهلة أو خطأٌ في الشبكة، أو أن للاسم أكثر من 20 مستوى. لا يُستنتج شيء عن المنطقة؛ أعد الفحص، أو افحص النطاق الأم التالي الذي تذكره الصفحة.

متى تستخدم فاحص سجل CAA

• معرفة سبب رفض جهة إصدار إصدارَ شهادة أو تجديدها بسبب خطأ CAA.
• التأكد من أن مزوّداً جديداً — شبكة توزيع محتوى أو منصة استضافة أو خدمة شهادات مُدارة — مسموح له قبل الانتقال إليه.
• حصر الإصدار في الجهات التي تستخدمها، وشهادات wildcard في المواضع التي تحتاجها فقط.
• مراجعة النطاقات الفرعية التي تديرها فرق أو جهات أخرى، والتي ترث سجلات CAA من النطاق الأم ما لم تنشر سجلاتها.

استكشاف الأخطاء وإصلاحها

• جهة إصدار تُبلغ عن خطأ CAA رغم أن النطاق يذكرها: تحقق من نطاق CAA الدقيق الذي توثّقه الجهة (فـ Google Trust Services هو pki.goog مثلاً)، ومن أن الاسم ليس شهادة wildcard تحكمها issuewild لا issue.
• الاسم مستعار (CNAME) لدى مزوّد: تأتي إجابة CAA من هدف الاسم المستعار، ولا يصعد البحث إلى نطاقك الأم إلا إذا لم يكن للهدف سجلات CAA. والمجموعة المقيِّدة عند الهدف لا يغيّرها إلا مالكه.
• «مجهولة — فشل استعلام»: أجابت الخوادم الموثوقة عن استعلام CAA بخطأ. بعض خوادم DNS القديمة ترفض نوع CAA؛ افحصها بأداة فحص خوادم الأسماء وحدّث برنامج DNS أو انتقل إلى مزوّد آخر.
• رسالة حدّ الطلبات: كل اسم في الصعود استعلام DNS واحد من حصتك في أدوات DNS؛ انتظر الثواني المعروضة ثم أعد المحاولة. وبلوغ الحد في منتصف الصعود يظهر بعبارة «مجهولة — لم يكتمل الفحص».

الأسئلة الشائعة حول فاحص سجل CAA

ملاحظات تقنية

يتكوّن سجل CAA ‏(RFC 8659) من بايت أعلام ووسم خاصية وقيمة. تذكر issue جهة إصدار يحق لها إصدار شهادات للاسم ونطاقاته الفرعية، مع معاملات اختيارية بعد فاصلة منقوطة؛ وتفعل issuewild الشيء نفسه لشهادات wildcard، وحين توجد تتقدّم على issue في هذه الشهادات؛ وتعطي iodef عنوان mailto: أو https: للتقارير. والتفويضات تتراكم بين السجلات، والقيمة ";" في issue لا تسمّي أي جهة، والقيمة المعطوبة تُعامَل كأنها فارغة.

قبل الإصدار تستعلم جهة الإصدار عن CAA للاسم — ويتتبّع المحلّل لديها أي CNAME كما في أي استعلام — ثم عن كل نطاق أم بالترتيب ما دامت الإجابة فارغة، وأول مجموعة غير فارغة هي المعتمدة. والمجموعة التي ليس فيها issue ولا issuewild لا تقيّد الإصدار، أما الخاصية غير المعروفة التي تحمل علَم الحرج (128) فتمنعه. وتُلزم المتطلبات الأساسية لمنتدى CA/Browser كل جهة إصدار موثوقة عامةً بهذا الفحص منذ سبتمبر 2017.

ينفّذ الفاحص الصعود نفسه باستعلام DNS عام واحد لكل اسم يُرسَل من خادم متقن على حافة Cloudflare، لعشرين اسماً على الأكثر، ولا يُستعلم عن النطاق العلوي نفسه، والصعود الذي يتوقف عند 20 اسماً دون العثور على سجلات يُعرض على أنه مجهول. وتُقارن جهة الإصدار التي تختبرها بقيم issue وissuewild في متصفحك.

الحدود ومنهجية القياس

يتوقف الصعود دون النطاق العلوي، لأن الأسماء المكوّنة من مقطع واحد مثل com لا يمكن الاستعلام عنها هنا. والنطاقات العلوية لا تنشر عادةً سجلات CAA، لكن هذا الفحص لا يثبت ذلك.

لا يُفحص أكثر من 20 اسماً، وهو حدّ تبقى الأسماء العادية دونه بكثير. والاسم الأعمق الذي لا توجد سجلات في أسمائه العشرين يُعرض على أنه مجهول، لا على أنه «يحق لأي جهة الإصدار».

تُقرأ السجلات عبر محلّل Cloudflare العام، أما جهة الإصدار فتستخدم محلّلاتها الخاصة مع التحقق من DNSSEC غالباً، وقد ترى إجابة مختلفة لفترة بعد أي تعديل.

لا يُستشار CAA إلا عند الإصدار: لا يستطيع الفاحص معرفة هل صدرت الشهادات الموجودة عن جهة مسموح لها. أداة البحث في شفافية الشهادات تعرض ذلك.

الأمان والخصوصية

يصل الاسم الذي تكتبه ونطاقاته الأم إلى خادم متقن، الذي يسأل DNS العام لدى Cloudflare عبر HTTPS عن سجلات CAA الخاصة بها. أما جهة الإصدار التي تختبرها فتُقارن في متصفحك ولا تُرسَل. لا يُخزَّن شيء.

المراجع

• RFC 8659: DNS Certification Authority Authorization (CAA) Resource RecordIETF · 2019سجل CAA: خصائص issue وissuewild وiodef، وعلَم critical، وكيف تصعد جهة إصدار الشهادات من الاسم إلى النطاقات الأم لتجد مجموعة CAA المعنية.
• RFC 8657: Certification Authority Authorization (CAA) Record Extensions for Account URI and Automatic Certificate Management Environment (ACME) Method BindingIETF · 2019المعاملان accounturi وvalidationmethods اللذان يقصران الإصدار على حساب ACME واحد أو على طرق تحقق محددة.
• Certification Authority Authorization (CAA)Let's Encryptدليل جهة إصدار شهادات عن CAA: النطاق الذي يُكتب في سجل issue، وكيف يعمل الصعود في شجرة الأسماء ومع CNAME، والأخطاء الشائعة.