CAA रिकॉर्ड क्या है?

अगर आप DNS रिकॉर्ड के प्रकार वाले चैप्टर फ़ॉलो करते आ रहे हैं, तो आप जानते हैं कि आपके DNS ज़ोन का हर रिकॉर्ड एक ख़ास मकसद पूरा करता है। A रिकॉर्ड सर्वरों की ओर इशारा करते हैं। MX रिकॉर्ड ईमेल रूट करते हैं। TXT रिकॉर्ड वेरिफ़िकेशन और ईमेल सुरक्षा संभालते हैं। CAA रिकॉर्ड कुछ अलग करता है। यह कंट्रोल करता है कि आपके डोमेन नाम के लिए SSL सर्टिफ़िकेट कौन जारी कर सकता है।

CAA रिकॉर्ड के बिना, कोई सर्टिफ़िकेट मांगे तो दुनिया की कोई भी सर्टिफ़िकेट अथॉरिटी आपके डोमेन के लिए सर्टिफ़िकेट जारी कर सकती है। यह बेनुकसान लग सकता है, लेकिन इससे ऐसी अथॉरिटी के सर्टिफ़िकेट जारी करने का दरवाज़ा खुल जाता है जिन्हें आपने न चुना और न मंज़ूर किया। CAA रिकॉर्ड जोड़ने से वह दरवाज़ा बंद हो जाता है और कंट्रोल आपके हाथ में आ जाता है।

CAA का मतलब क्या है?

CAA का मतलब है सर्टिफ़िकेट अथॉरिटी ऑथराइज़ेशन। नाम ठीक वही बताता है जो रिकॉर्ड करता है। यह ख़ास सर्टिफ़िकेट अथॉरिटी (CA) को आपके डोमेन के SSL सर्टिफ़िकेट जारी करने का अधिकार देता है और बाकी सभी CA से मना करने को कहता है।

सर्टिफ़िकेट अथॉरिटी वे संगठन हैं जो यह जांचने के लिए ज़िम्मेदार हैं कि डोमेन का मालिक वही है जो वह कहता है, और फिर वह SSL सर्टिफ़िकेट जारी करते हैं जिससे HTTPS चलता है। दुनिया भर में दर्जनों CA काम करती हैं। CAA रिकॉर्ड के बिना आपका डोमेन उन सबके लिए खुला है। CAA रिकॉर्ड के साथ आप चुनते हैं कि किसे इजाज़त है।

CAA रिकॉर्ड कैसा दिखता है?

CAA रिकॉर्ड के तीन मुख्य हिस्से होते हैं जो साथ काम करते हैं। हर एक का मतलब यह है।

• फ़्लैग एक नंबर है जो तय करता है कि रिकॉर्ड को कैसे संभाला जाए। ज़्यादातर सेटअप में यह 0 होता है। 128 का फ़्लैग CA को बताता है कि अगर वह रिकॉर्ड का टैग नहीं समझती, तो रिकॉर्ड को नज़रअंदाज़ करने की जगह सर्टिफ़िकेट जारी करने से मना कर दे
• टैग CA को बताता है कि इस रिकॉर्ड में किस तरह की इजाज़त या निर्देश है। तीन टैग प्रकार हैं, जिन्हें नीचे विस्तार से समझाया गया है
• वैल्यू उस सर्टिफ़िकेट अथॉरिटी का नाम है जिसे अधिकृत किया जा रहा है, या रिपोर्ट के लिए संपर्क पता। यह हमेशा उद्धरण चिह्नों में होती है

DNS पैनल में एक सीधा CAA रिकॉर्ड ऐसा दिखता है।

• होस्टनेम @ पर सेट
• टाइप CAA पर सेट
• फ़्लैग 0 पर सेट
• टैग issue पर सेट
• वैल्यू "letsencrypt.org" पर सेट

यह रिकॉर्ड एक ही बात कहता है। इस डोमेन के लिए आम SSL सर्टिफ़िकेट सिर्फ़ Let's Encrypt जारी कर सकती है। आपके डोमेन के लिए सर्टिफ़िकेट अनुरोध पाने वाली किसी भी दूसरी CA को पहले आपके CAA रिकॉर्ड जांचने होंगे और सूची में न होने पर मना करना होगा।

CAA रिकॉर्ड के तीन टैग प्रकार कौन से हैं?

हर CAA रिकॉर्ड तीन में से एक टैग इस्तेमाल करता है। टैग सर्टिफ़िकेट अथॉरिटी को बताता है कि रिकॉर्ड में किस तरह का निर्देश है।

"issue" टैग

issue टैग सबसे आम है। यह उस सर्टिफ़िकेट अथॉरिटी का नाम बताता है जिसे आपके डोमेन के आम SSL सर्टिफ़िकेट जारी करने की इजाज़त है। अगर आप दो अलग CA को इजाज़त देना चाहते हैं, तो आप दो अलग CAA रिकॉर्ड जोड़ते हैं, हर एक में issue टैग और अलग CA नाम।

उदाहरण के लिए, अगर आपका डोमेन Let's Encrypt और DigiCert, दोनों के सर्टिफ़िकेट इस्तेमाल करता है, तो आपके पास दो CAA रिकॉर्ड होंगे।

• 0 issue "letsencrypt.org"
• 0 issue "digicert.com"

अगर आप सर्टिफ़िकेट जारी होना पूरी तरह रोकना चाहते हैं, तो issue की वैल्यू एक सेमीकोलन रख सकते हैं, उसके बाद कुछ नहीं। इससे दुनिया की हर CA को बताया जाता है कि आपके डोमेन के लिए सर्टिफ़िकेट जारी करने का अधिकार किसी को नहीं है।

"issuewild" टैग

issuewild टैग issue की तरह ही काम करता है, लेकिन यह सिर्फ़ वाइल्डकार्ड सर्टिफ़िकेट पर लागू होता है। वाइल्डकार्ड सर्टिफ़िकेट आपके मुख्य डोमेन और उसके सभी सबडोमेन को एक साथ कवर करता है (जैसे *.yourdomain.com)।

अगर आप issuewild रिकॉर्ड सेट करते हैं, तो यह आम सर्टिफ़िकेट जारी करने वालों से अलग यह कंट्रोल करता है कि कौन सी CA वाइल्डकार्ड सर्टिफ़िकेट जारी कर सकती हैं। यह तब काम का है जब आप चाहते हैं कि आम सर्टिफ़िकेट एक CA संभाले और वाइल्डकार्ड सर्टिफ़िकेट दूसरी CA, या जब आप आम सर्टिफ़िकेट की इजाज़त बनाए रखते हुए वाइल्डकार्ड सर्टिफ़िकेट पूरी तरह रोकना चाहते हैं।

अगर कोई issuewild रिकॉर्ड न हो, तो issue टैग डिफ़ॉल्ट रूप से आम और वाइल्डकार्ड, दोनों सर्टिफ़िकेट पर लागू होता है।

"iodef" टैग

iodef टैग यह कंट्रोल नहीं करता कि सर्टिफ़िकेट कौन जारी कर सकता है। इसके बजाय यह CA को बताता है कि अगर कोई ऐसा सर्टिफ़िकेट मांगे जो आपकी CAA पॉलिसी का उल्लंघन करता है, तो रिपोर्ट कहां भेजनी है।

वैल्यू आम तौर पर कोई ईमेल पता या URL होती है। उदाहरण के लिए।

• 0 iodef "mailto:security@yourdomain.com"

इसका मतलब है कि अगर कोई CA आपके डोमेन के लिए सर्टिफ़िकेट अनुरोध पाती है और आपका CAA रिकॉर्ड कहता है कि वह CA अधिकृत नहीं है, तो CA को उस ईमेल पते पर सूचना भेजनी चाहिए। सभी CA iodef रिपोर्टिंग सपोर्ट नहीं करतीं, लेकिन जो करती हैं, वे आपको अनधिकृत सर्टिफ़िकेट अनुरोधों की जानकारी देती हैं।

CAA रिकॉर्ड कैसे जोड़ें?

CAA रिकॉर्ड जोड़ना किसी भी दूसरे DNS रिकॉर्ड जोड़ने जैसी ही प्रक्रिया है। अगर आपने पहले TXT रिकॉर्ड या A रिकॉर्ड जोड़ा है, तो यह जाना-पहचाना लगेगा।

1. उस DNS मैनेजमेंट पैनल में लॉग इन करें जहां आपके डोमेन के नेमसर्वर सेट हैं। यह आम तौर पर आपका डोमेन रजिस्ट्रार या होस्टिंग प्रोवाइडर होता है
2. DNS रिकॉर्ड का सेक्शन या DNS ज़ोन एडिटर ढूंढें
3. नया रिकॉर्ड जोड़ने का विकल्प दबाएं
4. रिकॉर्ड प्रकार के रूप में CAA चुनें
5. फ़्लैग 0 रखें, जब तक आपके पास 128 इस्तेमाल करने की कोई ख़ास वजह न हो
6. टैग प्रकार चुनें। आम सर्टिफ़िकेट के लिए "issue", वाइल्डकार्ड सर्टिफ़िकेट के लिए "issuewild", या उल्लंघन की रिपोर्ट के लिए "iodef" इस्तेमाल करें
7. वैल्यू डालें। issue और issuewild के लिए यह CA का डोमेन नाम है (जैसे "letsencrypt.org")। iodef के लिए यह ईमेल पता या रिपोर्टिंग URL है
8. रिकॉर्ड सेव करें

अगर आप एक से ज़्यादा CA को अधिकृत करना चाहते हैं, तो हर एक के लिए अलग CAA रिकॉर्ड जोड़ें। DNS बदलावों को फैलने में कुछ मिनट से लेकर 48 घंटे तक लग सकते हैं। यह कैसे काम करता है, इसके बारे में और जानने के लिए DNS कैसे काम करता है वाला चैप्टर पढ़ें।

क्या आपको CAA रिकॉर्ड की ज़रूरत है?

CAA रिकॉर्ड ज़रूरी नहीं है। आपका डोमेन उसके बिना भी बिल्कुल ठीक चलेगा, और आपका SSL सर्टिफ़िकेट भी काम करता रहेगा। लेकिन इसके होने से डोमेन सुरक्षा की एक काम की परत जुड़ जाती है, जिसे सेट करने में कोई खर्च नहीं है।

CAA रिकॉर्ड के बिना कोई सर्टिफ़िकेट मांगे तो कोई भी सर्टिफ़िकेट अथॉरिटी आपके डोमेन के लिए SSL सर्टिफ़िकेट जारी कर सकती है। ज़्यादातर मामलों में यह समस्या नहीं है, क्योंकि CA के अपने वेरिफ़िकेशन कदम होते हैं। लेकिन वे कदम बिल्कुल पक्के नहीं हैं। ऐसे मामले हुए हैं जहां सर्टिफ़िकेट गलत लोगों को जारी हुए, कभी गलती से और कभी कमज़ोर वेरिफ़िकेशन वाली CA की वजह से।

CAA रिकॉर्ड होने पर सिर्फ़ वही CA सर्टिफ़िकेट जारी कर सकती हैं जिनके नाम आपने ख़ास तौर पर दिए हैं। बाकी हर CA को मना करना ज़रूरी है, चाहे सर्टिफ़िकेट मांगने वाला उनकी सामान्य जांचें पास कर ले। यह आपके DNS ज़ोन में एक छोटा सा जोड़ है जो जोखिम की एक पूरी श्रेणी घटा देता है।

अगर आपका CAA रिकॉर्ड किसी वैध अनुरोध को रोक दे तो क्या होगा?

अगर आप एक CA का नाम देकर CAA रिकॉर्ड जोड़ते हैं और फिर किसी दूसरी CA से सर्टिफ़िकेट लेने की कोशिश करते हैं, तो अनुरोध फ़ेल हो जाएगा। CA आपके CAA रिकॉर्ड जांचेगी, देखेगी कि वह अधिकृत नहीं है, और सर्टिफ़िकेट जारी करने से मना कर देगी।

यह बग नहीं है। यही तो इसका मकसद है। लेकिन इसका मतलब है कि आपको अपने CAA रिकॉर्ड उस CA के साथ तालमेल में रखने होंगे जो आपका होस्टिंग प्रोवाइडर या वेबसाइट प्लेटफ़ॉर्म इस्तेमाल करता है। अगर आप होस्टिंग प्रोवाइडर बदलते हैं और नया प्रोवाइडर दूसरी CA इस्तेमाल करता है, तो आपको अपने CAA रिकॉर्ड में नई CA जोड़नी होगी।

हल आसान है। या तो नई CA के लिए नया CAA रिकॉर्ड जोड़ें, या मौजूदा रिकॉर्ड अपडेट करें। ज़रूरी बात यह है कि जब भी आप अपना SSL प्रोवाइडर या होस्टिंग सेटअप बदलें, अपने CAA रिकॉर्ड जांच लें।

WEMASY CAA रिकॉर्ड को कैसे संभालता है

जब आप WEMASY से वेबसाइट बनाते हैं और कस्टम डोमेन जोड़ते हैं, तो आपका SSL सर्टिफ़िकेट अपने आप जारी और मैनेज होता है। अगर आप अतिरिक्त सुरक्षा के लिए CAA रिकॉर्ड जोड़ना चाहते हैं, तो ध्यान रखें कि वह उस CA को शामिल करे जिससे आपका सर्टिफ़िकेट जारी होता है, ताकि सर्टिफ़िकेट का रिन्यूअल कभी न रुके।

अगर आपने CAA रिकॉर्ड जोड़ा है और SSL में दिक्कत दिखे, तो सबसे पहले अपना CAA रिकॉर्ड जांचें। हर प्लान में क्या शामिल है, यह WEMASY प्राइसिंग पेज पर देखें।

आगे क्या

अब जब आप समझ गए हैं कि CAA रिकॉर्ड कैसे कंट्रोल करता है कि कौन सी सर्टिफ़िकेट अथॉरिटी आपके डोमेन के SSL सर्टिफ़िकेट जारी कर सकती हैं, तो अगला चैप्टर SRV रिकॉर्ड के बारे में है। SRV रिकॉर्ड इंटरनेट को बताते हैं कि आपके डोमेन पर चल रही ख़ास सेवाएं, जैसे VoIP या चैट सर्वर, कहां मिलेंगी। सभी रिकॉर्ड प्रकारों की जानकारी और हर एक कब इस्तेमाल करें, इसके लिए DNS रिकॉर्ड के प्रकार वाला चैप्टर देखें।

अक्सर पूछे जाने वाले सवाल