ドメイン健全性レポート
ドメイン名は借りるもので、委任され、ときには署名もされています。そのどの層も、ほかの層に知らせることなく問題を起こすことがあります。このレポートはすべての層を確認し、対応が必要な点を緊急度の高い順に並べます。
一つの名前の裏にいる三者
ドメインを所有することはできません。1年単位で借りるもので、それを維持するには別々の三者が必要です。
- レジストリ
- 末尾の部分の運営者です。
.comならVerisign、.ukならNominet、.deならDENIC。どの名前を誰がいつまで借りているかの原簿を持っています。 - レジストラ
- お金を払う窓口です。Namecheap、GoDaddy、Gandi、Cloudflareなど。あなたに代わって、情報をレジストリに登録します。
- DNSホスト
- ネームサーバー、つまり「この名前のアドレスは？」に答えるマシンを運用する会社です。レジストラが兼ねていることが多いですが、そうである必要はありません。
契約が切れたり、ネームサーバーが応答しなくなったりすると、ウェブサイトとそのドメインのすべてのメールボックスが一緒に消えます。ウェブサーバーでは何も変わっていないので、内側から見るとこの種の障害はわけがわかりません。
レポートが調べるもの
サブドメインを入力すると、レポートは登録されたドメインまでさかのぼります。更新と委任はそのレベルで行われるからです。
| 層 | 読み取り方 | 指摘する条件 |
|---|---|---|
| 有効期限 | WHOISの構造化された後継である、レジストリのRDAPレコード | 残り30日未満または期限切れで赤、60日未満で黄色 |
| 移管ロック | 同じレコードのステータスコード | transfer prohibited のステータスがない |
| ネームサーバー | 各サーバーにゾーンのSOAレコードを直接問い合わせる | サーバーが2台未満、応答しないか権威を持たないサーバーがある、またはシリアル番号が食い違う |
| DNSSEC | レジストリのDSレコード、ゾーンのDNSKEY、公開リゾルバー1.1.1.1による検証済みの応答 | DSがあるのに、ゾーンが署名されていないか検証に失敗する |
| 基本 | CAA、MX、A、AAAA、www の名前 | MXがない、Aレコードがない、または www が名前解決できない |
CAAやAAAAのレコードがない場合は、不具合ではなく任意項目として表示します。単にオフになっているDNSSECも同様です。
DNSSECの行の読み方
DNSSECはDNSの応答に署名を加え、途中で誰も改ざんしていないことをリゾルバーが証明できるようにします。これは対で機能します。ゾーンが公開鍵（DNSKEY）を公開し、レジストリがそのうち一つの指紋（DS）を公開します。リゾルバーは両者を突き合わせます。
- オフ：レジストリにDSがありません。ドメインはインターネットの大半と同じように動作します。
- オンで有効：DSと鍵が一致し、1.1.1.1が応答を認証済みとしています。
- 破損または無効：レジストリはまだ指紋を公開していますが、ゾーンは署名されていないか、別の鍵で署名されています。Google Public DNS、Cloudflare、Quad9を含む検証型のリゾルバーは
SERVFAILを返し、その利用者から見るとドメインは存在しないことになります。
この最後の状態は、ほぼ必ず、古いDSをレジストラに残したまま新しいDNSホストに移ったあとに起こります。中途半端に有効なDNSSECは、ないより悪いものです。障害として扱ってください。
見つかった問題の直し方
- 期限が近い。今すぐ更新し、自動更新をオンにしてから、登録済みのカードと連絡先メールがまだ使えるか確認してください。失われたドメインの多くは、もう誰も読まないメールボックスに更新の案内が送られていました。
- ロックされていない。レジストラの管理画面で「Transfer lock」「Domain lock」「Registrar lock」などの項目を探してください。
clientTransferProhibitedが設定され、費用はかかりません。 - 応答しないネームサーバー。以前のホストのものなら、レジストラの一覧から削除してください。リゾルバーは一覧のサーバーから選ぶので、応答しない項目が一つあるだけで、問い合わせの一部が遅くなったり失敗したりします。
- シリアル番号のずれ。編集後に数分ずれるのは正常です。1時間続くなら、セカンダリサーバーがゾーンのコピーをやめているので、DNSホストに連絡してください。意図的に2つのDNSプロバイダーに分けたドメインでは、常に2つのシリアルが表示されますが、それは想定どおりです。
- 破損したDNSSEC。レジストラでDSレコードを削除するか、新しいDNSホストでゾーンに署名してそのDSの値を貼り付けてください。古い指紋を残したままにしないでください。
- メールを受け取らない。何も受信すべきでないドメインは、null MXでそれを示せます：
example.com. MX 0 .
一部のレジストリ、主に国別コードのものは、RDAPレコードを公開していないか、有効期限を載せていません。その場合はレポートにそう表示され、確実な情報源はレジストラのアカウントだけになります。自動更新がオンかどうか、誰がそのアカウントにログインできるかも、このレポートではわかりません。
よくある質問
ドメインの有効期限はどうやって確認しますか？
レポートを実行してください。有効期限はレジストリのRDAPレコードから直接取得します。レジストリが公開していない場合は、レジストラのアカウントでドメインの詳細を見れば日付がわかります。
ドメインの期限が切れるとどうなりますか？
まずレジストラが名前をパーキングページに向けるので、サイトとメールが止まります。多くの末尾では、その後数週間の猶予期間があり、通常料金で更新できます。続いて高額な手数料がかかる償還期間があります。そのあと名前は解放され、誰でも登録できるようになります。
DNSSECは必要ですか？
任意です。偽のDNS応答から訪問者を守るもので、多くのDNSホストではスイッチ一つで有効にできます。DNSホストを変えるたびにDSレコードを更新するのを忘れない場合にだけ、オンにしてください。
CAAレコードとは何ですか？必須ですか？
CAAレコードは、あなたのドメインの証明書を発行してよい認証局を指定します。たとえば 0 issue "letsencrypt.org" です。必須ではありません。ない場合は、どの認証局でも発行できます。
ドメインにはネームサーバーがいくつ必要ですか？
少なくとも2つ、別々のネットワーク上に必要です。どのDNSホストも標準で2〜4つ用意しています。レジストラにすべて登録してください。
clientTransferProhibitedとはどういう意味ですか？
移管ロックのことです。このステータスが設定されている間、レジストリはドメインを別のレジストラへ移す要求をすべて拒否します。本当に移管したいときに、自分で数日間だけ外します。