Que sont les journaux Certificate Transparency ?
Depuis 2018, les AC publiques doivent inscrire chaque certificat TLS dans plusieurs journaux publics et non modifiables, sinon Chrome et Safari le refusent. On peut ainsi voir quels certificats existent pour un domaine, y compris ceux dont tu n’as pas connaissance.
À quoi sert la recherche
- Trouver des sous-domaines oubliés : systèmes de test, anciens sites de campagne ou services de prestataires apparaissent dans les certificats même s’ils ne figurent dans aucun inventaire.
- Repérer des émetteurs inconnus : si une AC apparaît avec laquelle tu ne travailles pas, un prestataire ou un autre service a peut-être commandé un certificat. Au pire, il s’agit d’une émission frauduleuse.
- Surveiller l’expiration : les certificats qui expirent bientôt sans successeur sont mis en évidence.
- Comparer avec CAA : l’outil lit ton enregistrement CAA et signale les certificats actifs d’AC qui n’y sont pas autorisées.
Bon à savoir
Les journaux ne contiennent que des certificats publiquement reconnus. Les AC internes et les certificats auto-signés n’y figurent pas. Le précertificat et le certificat final sont regroupés en une seule entrée. Comme les journaux sont publics, n’inscris pas de noms confidentiels dans des certificats publics. Un certificat joker ne révèle pas les hôtes individuels.
Ensuite : le générateur CAA pour définir quelles AC peuvent émettre, et la vérification SSL pour voir ce qu’un serveur envoie vraiment.
FAQ
Pourquoi vois-je des sous-domaines qui n’existent plus ?
Les journaux CT sont des archives. Les noms désactivés depuis longtemps restent visibles. Par défaut, la recherche n’affiche que les certificats valides ; coche « inclure les expirés » pour l’historique.
Un certificat provient d’une AC inconnue. Que faire ?
Vérifie d’abord si un prestataire (CDN, service mail, hébergeur) l’a demandé. Sinon, signale-le à l’AC pour révocation et définis avec un enregistrement CAA quelles AC pourront émettre à l’avenir.
Pourquoi la recherche est-elle parfois longue ?
Les données viennent de crt.sh, une base gratuite qui exploite tous les journaux. Pour de grands domaines avec des dizaines de milliers de certificats, la réponse peut tarder ou ne pas arriver. Les résultats sont donc mis en cache une heure.
Les certificats internes apparaissent-ils ?
Non. Les certificats de ta propre AC interne ne sont pas inscrits dans les journaux CT.
Puis-je réutiliser les résultats ?
Oui. Les noms et certificats se téléchargent en CSV, p. ex. pour un inventaire ou une comparaison avec ta zone DNS.