ドメイン認証とは？
- SSL/TLSなどの証明書を発行する前に、対象のドメインが本当に申請者のものかを確認するプロセスのこと
ドメイン認証の仕組みがないと？
- 誰でも特定のドメインに対する証明書を発行できてしまう
- e.g. example.comの所有者じゃなくてもexample.comに対する証明書を発行できる
- フィッシングサイトなどの詐欺に悪用…
DigiCertで採用されているドメイン認証の主な方式
- メール認証
- DNS認証
- ファイル認証
CA/Browser Forumとは
- ウェブ上の暗号化通信（HTTPS）で使われるSSL/TLS証明書や電子証明書の発行・運用に関する標準ガイドライン（ルール）を策定・改定するボランタリーな業界団体
- DigiCertも加入している
Baseline Requirements（BR）とは
- CA/Browser Forumが策定している「パブリックに信頼されたSSL/TLS証明書を発行・管理するための業界統一の最低運用基準」
- Chrome、Safari、Firefox、Edgeなどの主要ブラウザで「安全な接続（HTTPS）」として認められるSSL/TLS証明書を発行する認証局（CA）は、このBRに厳格に従う必要がある
FQDNに対する認証を求めたにも関わらず、ベースドメイン（Base Domain Name）に対する認証を求められた場合
e.g. DigiCertでhoge.example.comに対する証明書の発行を求めたにも関わらず、ドメイン認証でexample.comに対する認証を求められ、尚且つ運用の制約上Base Domain Name（example.com）でのドメイン認証の設定が難しい場合。
なぜこのようなことが起こるのか？？
Baseline Requirements（BR）上、Authorization Domain Name（SSL/TLSサーバー証明書を発行する際、申請者が対象ドメインの支配権・管理権限を持っていることを証明するために使用されるドメイン名）にはFQDNからBase Domain Nameまでの任意の階層を選択可能だから。
DigiCertがBase Domain Nameを選択するのは正当なプロセス。
ソース
https://cabforum.org/working-groups/server/baseline-requirements/requirements/
The CA may prune zero or more Domain Labels of the FQDN from left to right until encountering a Base Domain Name and may use any one of the values that were yielded by pruning (including the Base Domain Name itself) for the purpose of domain validation.
どう対処すればいいのか？
- DigiCertに直接問い合わせて、ドメイン認証の対象をBase Domain NameからFQDNに変えてもらう
まとめ
- FQDNに対する認証を求めたにも関わらず、ベースドメイン（Base Domain Name）に対する認証を求められた場合
- DigiCertにFQDNに対する認証に変えられないかを聞いてみる