Punycode と国際化ドメイン名（IDN）：日本語URLの裏側で起きていること

2026年4月26日約6分

日本.jp のような日本語ドメインを使うと、URL バーには日本語のまま表示されますが、DNS の裏側では Punycode と呼ばれる ASCII 表記に変換されています。仕組みと、それに関わるセキュリティ上の罠を整理します。

DNS の制約：ASCII しか扱えない

DNS の仕様は ASCII のみを前提に設計されました：

日本語や他の Unicode 文字をそのまま入れることはできません。これを回避するために考案されたのが IDNA（Internationalizing Domain Names in Applications） で、その中核技術が Punycode です。

Punycode（RFC 3492）は Unicode 文字列を ASCII の英数字とハイフンだけで表現する可逆エンコーディング。

例：

xn-- プレフィックスが「これは Punycode エンコード済みのラベル」を示します。

Punycode は次のステップで動作：

ASCII 文字を含むドメイン（mañana.com のように）は、man をそのまま残し、ñ の位置と文字情報をエンコードします。

Punycode の存在によって生まれたセキュリティリスクが ホモグラフ攻撃です。

例：以下の 2 つは見た目がほぼ同じ：

後者は Punycode で xn--pple-43d.com のような別ドメインとして登録できます。ユーザーが「apple.com」と思ってアクセスすると、別のサイトに誘導される。

これを防ぐため、ブラウザは 同一ドメイン内に複数のスクリプト（文字体系）が混在する場合、Punycode 表記で表示する仕様になっています。

Chrome・Firefox の判定（簡略）：

このため、日本.jp は日本語のまま表示されるが、аpple.com（キリルの а）は xn--pple-43d.com として表示される。

メールアドレスの EAI（Email Address Internationalization、RFC 6530） も同様の課題に対処しています：

ただし EAI 対応のメールサーバーはまだ少なく、実用上は ASCII 限定で運用するケースが多いです。

ユーザーが「日本.jp」と入力したものをサーバーで検証する場合：

const domain = 'xn--wgv71a.jp'; // Punycode
const display = '日本.jp'; // 表示用

URL オブジェクトのプロパティを参照すると Punycode 化されたドメインが取れます。

Sender: 山田@example.com のようなアドレスは、Punycode 化したドメインで SMTP に渡す必要があります。

Let’s Encrypt などは IDN ドメインに対して ACME プロトコルで Punycode 表記の証明書を発行します。

Google は同一ページの IDN 形式と Punycode 形式を別 URL として扱うため、canonical を統一する必要があります。

日本.jp のような IDN を Punycode に変換したい場合、本サイトの Punycode 変換ツールでエンコード・デコードを試せます。