¿Qué son los registros de Certificate Transparency?
Desde 2018, las CA públicas deben anotar cada certificado TLS en varios registros públicos e inalterables; si no, Chrome y Safari lo rechazan. Así se puede ver qué certificados existen para un dominio, incluidos los que desconoces.
Para qué sirve la búsqueda
- Encontrar subdominios olvidados: sistemas de prueba, webs de campañas antiguas o servicios de proveedores aparecen en los certificados aunque no figuren en ningún inventario.
- Detectar emisores desconocidos: si aparece una CA con la que no trabajas, quizá un proveedor u otro departamento pidió un certificado. En el peor caso es una emisión indebida.
- Vigilar la caducidad: se resaltan los certificados que caducan pronto y aún no tienen sucesor.
- Comparar con CAA: la herramienta lee tu registro CAA y marca los certificados activos de CA que no están permitidas.
Conviene saber
Los registros solo contienen certificados de confianza pública. Las CA internas y los certificados autofirmados no aparecen. El precertificado y el certificado final se agrupan en una sola entrada. Como los registros son públicos, no pongas nombres confidenciales en certificados públicos. Un certificado comodín no revela los hosts individuales.
Siguientes pasos: el generador CAA para definir qué CA pueden emitir y el comprobador SSL para ver qué envía realmente un servidor.
FAQ
¿Por qué veo subdominios que ya no existen?
Los registros CT son un archivo. Los nombres desactivados hace tiempo siguen visibles. Por defecto la búsqueda solo muestra certificados válidos; marca «incluir caducados» para ver el historial.
Un certificado es de una CA que no conozco. ¿Qué hago?
Comprueba primero si lo pidió un proveedor (CDN, servicio de correo, hosting). Si no, comunícalo a la CA para revocarlo y define con un registro CAA qué CA podrán emitir en el futuro.
¿Por qué la búsqueda tarda a veces?
Los datos vienen de crt.sh, una base de datos gratuita que procesa todos los registros. En dominios grandes con decenas de miles de certificados la respuesta puede tardar o no llegar. Por eso los resultados se guardan en caché una hora.
¿Aparecen los certificados internos?
No. Los certificados de tu propia CA interna no se anotan en los registros CT.
¿Puedo reutilizar los resultados?
Sí. Los nombres y certificados se pueden descargar en CSV, por ejemplo para un inventario o para compararlos con tu zona DNS.