Was sind Certificate-Transparency-Logs?
Seit 2018 müssen öffentliche CAs jedes TLS-Zertifikat in mehrere öffentliche, nicht veränderbare Logs eintragen, sonst akzeptieren Chrome und Safari es nicht. Dadurch ist nachvollziehbar, welche Zertifikate es für eine Domain gibt, auch solche, von denen du nichts weißt.
Wofür du die Suche brauchst
- Vergessene Subdomains finden: Testsysteme, alte Kampagnenseiten oder Dienste von Dienstleistern tauchen in den Zertifikaten auf, auch wenn sie in keinem Inventar stehen.
- Unbekannte Aussteller erkennen: Taucht eine CA auf, mit der du nicht arbeitest, hat vielleicht ein Dienstleister oder eine Fachabteilung selbst ein Zertifikat bestellt. Im schlimmsten Fall ist es eine Fehlausstellung.
- Ablauf im Blick behalten: Zertifikate, die bald ablaufen und noch keinen Nachfolger haben, werden hervorgehoben.
- CAA abgleichen: Das Werkzeug liest deinen CAA-Eintrag und markiert aktive Zertifikate von CAs, die dort nicht erlaubt sind.
Gut zu wissen
Die Logs enthalten nur öffentlich vertraute Zertifikate. Interne CAs und selbstsignierte Zertifikate erscheinen nicht. Precertificate und endgültiges Zertifikat werden zu einem Eintrag zusammengefasst. Da die Logs öffentlich sind, solltest du keine vertraulichen Namen in öffentliche Zertifikate schreiben. Ein Wildcard-Zertifikat verrät die einzelnen Hosts nicht.
Weiter geht es mit dem CAA-Generator, um festzulegen, welche CAs ausstellen dürfen, und dem SSL-Check, um zu prüfen, was ein Server wirklich ausliefert.
FAQ
Warum sehe ich Subdomains, die es gar nicht mehr gibt?
Die CT-Logs sind ein Archiv. Auch längst abgeschaltete Namen bleiben sichtbar. Standardmäßig zeigt die Suche nur gültige Zertifikate, die Historie gibt es mit dem Haken „auch abgelaufene“.
Ein Zertifikat stammt von einer CA, die ich nicht kenne. Was tun?
Klär zuerst, ob ein Dienstleister (CDN, Mail-Anbieter, Hosting) es beantragt hat. Wenn nicht, melde es der CA zur Sperrung und leg mit einem CAA-Eintrag fest, welche CAs künftig ausstellen dürfen.
Warum dauert die Suche manchmal lange?
Die Daten kommen von crt.sh, einer kostenlosen Datenbank, die alle Logs auswertet. Bei großen Domains mit Zehntausenden Zertifikaten kann die Antwort dauern oder ausbleiben. Ergebnisse werden deshalb eine Stunde zwischengespeichert.
Tauchen interne Zertifikate auf?
Nein. Zertifikate einer eigenen, internen CA werden nicht in CT-Logs eingetragen.
Kann ich die Ergebnisse weiterverarbeiten?
Ja. Namen und Zertifikate lassen sich als CSV herunterladen, etwa für ein Inventar oder einen Abgleich mit der DNS-Zone.