Zertifikate einer Domain
Welche TLS-Zertifikate für diese Domain in den öffentlichen Transparenzprotokollen stehen — und welche Namen darin vorkommen.
Was das Transparenzprotokoll ist — und was es nicht ist
Warum es das Protokoll gibt
Früher konnte eine Zertifizierungsstelle ein Zertifikat für deine Domain ausstellen, ohne dass du davon je erfahren hättest. Genau das ist mehrfach passiert. 2013 entstand als Antwort Certificate Transparency: öffentliche Protokolle, an die nur angehängt werden kann und aus denen nichts verschwindet. Verbindlich wurde es schrittweise — Chrome verlangt seit dem 30. April 2018 für neu ausgestellte, öffentlich vertraute Zertifikate einen Nachweis aus solchen Protokollen, andere Browser zogen nach. Alles, was davor ausgestellt wurde, steht deshalb nur teilweise darin.
Was das für dich bedeutet
Du kannst jederzeit nachsehen, was auf deinen Namen ausgestellt wurde. Alle anderen können das auch. Deshalb ist die Namensliste hier immer zweierlei: deine Bestandsaufnahme und die Aufklärungsarbeit, die ein Angreifer sich sparen kann.
Was du damit anfängst
Zwei Dinge. Erstens: Steht ein Aussteller in der Liste, den du nicht beauftragt hast, geh dem nach. Zweitens: Namen, für die es nur abgelaufene Zertifikate gibt, sind meist vergessene Systeme — die gehören abgeschaltet oder gepflegt.
Selbst nachprüfen
Dieselbe Prüfung kannst du im Terminal machen — unter Linux und macOS mit diesen Befehlen:
curl -s "https://crt.sh/?q=example.com&output=json" | jq -r '.[] | "\(.not_after[0:10]) \(.issuer_name) \(.name_value)"' | sort -ucurl -s "https://api.certspotter.com/v1/issuances?domain=example.com&include_subdomains=true&expand=dns_names&expand=issuer" | jq -r '.[].dns_names[]' | sort -udig +short CAA example.com || dig +short CAA $(echo example.com | cut -d. -f2-)Die Befehle sind bereits mit deiner Eingabe gefüllt. Weicht ein Ergebnis von dem hier ab: Beide Wege fragen dieselbe öffentliche Datenquelle, aber nicht im selben Moment. Deren Bestand ändert sich laufend und ist teils Stunden alt — Abweichungen sind meist ein Zeitunterschied, kein Widerspruch.