سجلات CAA: درعٌ بسيط يُحكِم إقفال إصدار شهادات SSL

سجل CAA (تفويض جهة إصدار الشهادات) هو إدخال DNS يحدد بدقة جهات إصدار الشهادات المسموح لها بإصدار شهادات SSL/TLS لنطاقك. انشر واحداً، وسيُلزَم كل جهة إصدار ملتزمة برفض أي طلب شهادة من أي جهة أخرى — فتُغلق بذلك ثغرة لم يكن معظم مالكي النطاقات يدركون أنها مفتوحة أصلاً.

منذ سبتمبر 2017، ألزم منتدى CA/Browser جميع جهات إصدار الشهادات الموثوقة عموماً بالتحقق من سجلات CAA قبل الإصدار. هذا السطر الواحد من DNS يحوّل "أي جهة من عشرات الجهات يمكنها أن تشهد لنطاقي" إلى "فقط الجهات التي سمّيتها". يشرح هذا الدليل ما تفعله سجلات CAA، والهجوم الخفي الذي تمنعه، وكيفية إضافتها دون أن تُعطّل عمليات تجديدك.

ما الذي تفعله سجلات CAA

يعيش سجل CAA في منطقة DNS الخاصة بنطاقك إلى جانب سجلات A وMX وTXT. وظيفته محدودة: فهو ينشر قائمة جهات إصدار الشهادات التي فوّضتها بإصدار شهادات TLS/SSL للنطاق، ويجب على أي جهة إصدار تتبع القواعد أن تقرأ تلك القائمة قبل أن توقّع أي شهادة.

التفصيل الجوهري هو متى يحدث التحقق. تقرأ جهة الإصدار سجل CAA في لحظة طلب الشهادة أو تجديدها — لا تقرأه متصفحات زوّارك عند اتصالهم. إنه ضابط على الإصدار، لا على حركة المرور الحية. وهذا يعني أن إضافة واحد ليس لها أي أثر على الشهادات التي تملكها بالفعل ولا يمكن أن تُعطّل موقعاً يعمل؛ فهو يحكم فقط من يحق له سكّ شهادات جديدة مستقبلاً.

لم يعد التحقق اختيارياً. قبل أن يجعله منتدى CA/Browser إلزامياً، كان دعم CAA نادراً ومتجاهَلاً إلى حد بعيد. أما اليوم، فاحترام سجل CAA الخاص بك جزء من المتطلبات الأساسية التي توافق كل جهة إصدار موثوقة على اتباعها.

ثغرة الهجوم المُغفَلة التي تغلقها سجلات CAA

يثق متصفحك بعشرات جهات إصدار الشهادات الجذرية. من دون سجل CAA، يمكن لأي واحدة منها أن تصدر شهادة صالحة وموثوقة لدى المتصفحات لنطاقك — وسيرى زوّارك القفل في الحالتين. أمان شهادتك لا يفوق قوة أضعف جهة إصدار في مجمل المجموعة الموثوقة.

وهذا ليس افتراضياً. ففي عام 2011، اختُرقت الجهة الهولندية DigiNotar واستُخدمت لإصدار شهادات مزوّرة لنطاقات كبرى، ثم استُغلت تلك الشهادات لاعتراض حركة المرور المشفّرة. وأصدرت جهات إصدار أخرى شهادات خاطئة عبر ثغرات في التحقق أو عبر الهندسة الاجتماعية. وفي كل حالة لم يكن مالك النطاق قد ارتكب أي خطأ — فالضعف كان قابعاً في جهة إصدار لم يختر قط التعامل معها.

يُقلّص سجل CAA مساحة الهجوم تلك من "كل جهة إصدار على وجه الأرض" إلى الجهة أو الجهتين اللتين تستخدمهما فعلاً. فإذا خدع مهاجمٌ جهةً غير ذات صلة أو اخترقها، صارت تلك الجهة مُلزَمة بقراءة سجل CAA الخاص بك، ورؤية أنها ليست على القائمة، والرفض. لا يجعل CAA الإصدار الخاطئ مستحيلاً، لكنه يزيل أسهل طريق إليه.

تشريح سجل CAA

يتألف سجل CAA من ثلاثة أجزاء: بايت العَلَم، والوسم، والقيمة. وهناك ثلاثة وسوم ستستخدمها:

• issue — يفوّض جهة إصدار بإصدار شهادات للنطاق ونطاقاته الفرعية. والقيمة المعتادة هي letsencrypt.org.
• issuewild — ينطبق تحديداً على شهادات البطاقة البديلة (wildcard) مثل *.example.com، ويتجاوز issue فيما يخص البطاقات البديلة عند وجوده.
• iodef — عنوان (mailto: أو https://) ينبغي لجهة الإصدار أن تبلّغ عليه عن محاولة إصدار غير مصرّح بها أو إصدار مُنِع، كي تسمع فعلاً عن أي هجوم.

تُقرأ المجموعة المعتادة هكذا: 0 issue "letsencrypt.org" و0 issuewild "letsencrypt.org" و0 iodef "mailto:[email protected]". الرقم 0 في البداية هو العَلَم؛ وضبطه على 128 يُعلّم الوسم بأنه "حرج"، أي إن جهة الإصدار التي لا تفهمه يجب أن ترفض الإصدار بدلاً من المضي قدماً.

تستحق قيمتان خاصتان المعرفة. فقيمة issue فارغة — issue ";" — تمنع كل إصدار، وهو مثالي لنطاق مركون لا ينبغي أن تكون له شهادة أبداً. ويمكنك تفويض عدة جهات إصدار ببساطة بإضافة مزيد من سجلات issue، سجل لكل جهة.

تثبيت جهة الإصدار والحساب والطريقة

يمكن لـ CAA أن يذهب أبعد من تسمية جهة الإصدار. تضيف مواصفة لاحقة مُعاملات تتيح لك ربط الإصدار بحساب محدد وطريقة تحقق محددة لدى تلك الجهة:

• accounturi — يقفل الإصدار على حساب ACME واحد، بحيث لا يستطيع حتى من يستخدم الجهة ذاتها الحصول على شهادة بحساب مختلف.
• validationmethods — يقيّد أنواع التحديات المقبولة، فمثلاً يقبل dns-01 فقط، مانعاً تحقق HTTP الأسهل تزويراً.

قد يُقرأ سجل مُحصَّن هكذا: 0 issue "letsencrypt.org; accounturi=https://acme-v02.api.letsencrypt.org/acme/acct/12345; validationmethods=dns-01". يتفاوت دعم هذه المُعاملات من جهة إصدار إلى أخرى، فاختبرها قبل أن تعتمد عليها.

كيفية إضافة سجلات CAA إلى نطاقك

1. اجرد جهات الإصدار لديك. أدرج كل جهة تصدر شهادات نيابةً عنك — شبكة توصيل المحتوى CDN لديك (Cloudflare، Fastly)، ومضيفك أو موازن الأحمال (يستخدم AWS القيمة amazon.com، ويستخدم Google القيمة pki.goog)، وأي شهادات يدوية (Let's Encrypt، DigiCert، Sectigo، GlobalSign). إن أغفلت واحدة فستفشل عمليات تجديدها بصمت.
2. أضف السجلات لدى مزوّد DNS الخاص بك باستخدام وسوم issue وissuewild وiodef الواردة أعلاه. تتيح معظم لوحات التحكم نوع سجل CAA مخصصاً؛ ويتطلب بعضها الصيغة الخام.
3. تحقق. استعلم عنه بنفسك عبر dig CAA yourdomain.com، أو استخدم أداة اختبار CAA عامة، ثم تأكد من أن تجديد الشهادة ما زال ينجح.

التغيير بأكمله حفنة من أسطر DNS، لا يكلّف شيئاً، ويمكن التراجع عنه فوراً بحذف السجلات — وهو من أرخص المكاسب الأمنية التي ستحققها على الإطلاق.

الأخطاء التي تُعطّل عمليات التجديد بصمت

• نسيان جهة إصدار خاصة بـ CDN أو منصة. الفشل الكلاسيكي: تقفل النطاق على Let's Encrypt، ثم تعجز شهادة شبكة CDN لديك عن التجديد لأن جهتها لم تُفوَّض قط.
• تجاهل البطاقات البديلة. إن كنت تعتمد على شهادات *.example.com لكنك ضبطت issue فقط، فبعض الإعدادات ما زالت تمنع البطاقة البديلة. أضف issuewild صراحةً.
• مفاجآت النطاقات الفرعية. تصعد عمليات تحقق CAA من اسم المضيف الدقيق مروراً بالنطاقات الأب، فسجل على example.com يغطي api.example.com ما لم يتجاوزه سجل أكثر تحديداً. خطّط للتسلسل الهرمي بتدبّر.
• تخطّي DNSSEC. المهاجم القادر على تزوير DNS الخاص بك قد يجرّد سجل CAA قبل أن تقرأه جهة الإصدار. يحمي توقيع منطقتك بـ DNSSEC سلامة السجل ويجعل الضابط بأكمله جديراً بالثقة.

أين يقع CAA ضمن منظومة أمان نطاقك

سجل CAA طبقة واحدة. وهو يقترن طبيعياً بالضوابط التي تحمي النطاق نفسه: المصادقة الثنائية عبر تطبيق المصادقة (لا الرسائل النصية أبداً) على حساب مُسجِّل نطاقك، وقفل المُسجِّل ضد عمليات النقل غير المصرّح بها، وقفل السجل للأسماء عالية القيمة، وDNSSEC لتوقيع منطقتك، وبريد استرداد على نطاق منفصل. يحرس CAA من يستطيع التصديق على اسمك؛ وهذه الضوابط تحرس من يستطيع نقله أو إعادة توجيهه.

كل هذا يعتمد على إدارة DNS في مكان قادر. للتسجيل بسعر التكلفة، يُعد Porkbun (نحو 11 دولاراً) وCloudflare (بسعر الجملة تقريباً) أرخص الخيارات الشاملة. وحين تريد كذلك اسماً مميزاً قابلاً للعلامة التجارية، يكون Atom.com خياراً قوياً: فهو سوق مُنتقاة يأتي فيها كل عرض بتقييم مجاني بالذكاء الاصطناعي، وفحص علامة تجارية لدى USPTO، وضمان تحويل آمن (escrow)، وشعار مُصمَّم باحترافية — ويقدّم Atom أيضاً خدمات تسجيل النطاقات، فيمكنك تسجيل نطاق متاح، وضبط خوادم الأسماء، وإدارة التوجيه، وتمكين DNSSEC على المنصة ذاتها. وسواء سجّلت نطاقاً جديداً أم اقتنيت اسماً قابلاً للعلامة التجارية، أضف سجل CAA في اليوم الأول. يستغرق دقائق، ولا يكلّف شيئاً، ولا ينتهي أبداً.

الأسئلة الشائعة

هل تجعل سجلات CAA موقعي أكثر أماناً للزوّار؟

بشكل غير مباشر. يُطبَّق CAA عند إصدار الشهادة، لا عند اتصال الزائر، فالمتصفحات لا تقرأه قط. قيمته في منع إصدار شهادة لنطاقك من جهة لم توافق عليها أبداً — وهو ما يوقف فئة كاملة من هجمات انتحال الهوية واعتراض حركة المرور قبل أن تبدأ.

هل ستُعطّل إضافة سجل CAA شهادة SSL الحالية لديّ؟

لا. يُفحص CAA فقط عند طلب شهادة جديدة أو تجديدها، فالشهادات التي تملكها بالفعل تستمر في العمل. الخطر الوحيد هو فشل تجديد مستقبلي إن نسيت تفويض جهة إصدار تستخدمها فعلاً، فاجرد كل جهة — بما فيها شبكة CDN ومضيفك — قبل أن تنشر السجل.

أي جهات إصدار شهادات ينبغي أن أُدرجها في سجل CAA لديّ؟

أدرج كل جهة تصدر شهادات نيابةً عنك. القيم الشائعة هي letsencrypt.org وdigicert.com وsectigo.com وglobalsign.com وpki.goog لـ Google وamazon.com لـ AWS. افحص شهادتك الحالية ووثائق مزوّد الاستضافة أو شبكة CDN لديك، وأدرج أي جهة إصدار احتياطية قد تنتقل إليها لاحقاً.

هل سجل CAA بديل عن DNSSEC أو قفل المُسجِّل؟

لا — فهي تحمي أشياء مختلفة. يتحكم CAA في من يستطيع إصدار الشهادات؛ ويحمي DNSSEC سلامة إجابات DNS الخاصة بك، بما فيها سجل CAA نفسه؛ وتوقف أقفال المُسجِّل والسجل عمليات النقل غير المصرّح بها. استخدمها معاً كطبقات بدلاً من معاملة أي منها بديلاً عن الأخرى.

أين أضيف سجل CAA، وهل يكلّف شيئاً؟

تضيفه حيث تُدار DNS الخاصة بنطاقك — لدى مُسجِّلك أو مزوّد DNS — كسجل من نوع CAA. وهو مجاني ويستغرق دقائق. يتعامل معه مُسجِّلو التكلفة مثل Porkbun وCloudflare جيداً، ويُعد Atom.com خياراً جيداً حين تريد كذلك اسماً مميزاً قابلاً للعلامة التجارية مع تقييم وفحص علامة تجارية وضمان تحويل وإدارة DNS على منصة واحدة.