¿Cómo se monitoriza Certificate Transparency para su marca?

¿Qué es Certificate Transparency y por qué ayuda a un proyecto cripto?

Certificate Transparency es un sistema de registros públicos en el que las autoridades de certificación anotan los certificados que emiten. Como los registros son públicos, cualquiera puede buscar en ellos un nombre, incluido un nombre que imite el suyo. Un estafador de phishing que quiere HTTPS en un dominio parecido suele solicitar un certificado, y esa solicitud se convierte en una entrada visible.

Esto importa en dos situaciones. La primera es el dominio parecido: un atacante registra un nombre que se parece al suyo, obtiene un certificado e inicia una campaña. La segunda es el secuestro: Blockaid informó de que en los compromisos de front end de febrero de 2026 los certificados SSL del atacante se emitieron el mismo día del cambio de DNS, y de que se emitieron certificados comodín para el dominio de Nerochain. Una entrada de registro para su propio dominio que usted no solicitó es una alerta temprana.

Una definición citable: la monitorización de Certificate Transparency es la práctica de buscar en los registros públicos de certificados nombres que contengan su marca, de modo que los certificados de dominios parecidos y de secuestros se vean cuando se emiten, no cuando los usuarios ya han sufrido daño.

¿Cómo se busca su marca en crt.sh?

Busque en crt.sh por identidad, con el nombre de su dominio y la cadena de su marca, y revise la lista cada semana. crt.sh es un servicio de búsqueda de certificados gestionado por Sectigo. Acepta como identidad un nombre de dominio o de organización, una huella de certificado o un ID de crt.sh.

Su página Advanced enumera los operadores de coincidencia Autoselect, equals, ILIKE y LIKE, una opción de alcance, una casilla para excluir los certificados caducados y otra para deduplicar los pares de certificado y precertificado. Los operadores LIKE son operadores SQL, en los que el signo de porcentaje coincide con cualquier texto, de modo que un patrón como la marca con un signo de porcentaje a cada lado enumera los nombres que la contienen. La página de crt.sh no documenta los caracteres de patrón, así que confirme el comportamiento con una búsqueda de prueba sobre un nombre que posea.

Anote lo que encuentre. Mantenga una lista corta de sus propios nombres y emisores legítimos, y revise cada una de las demás entradas. Para cada nombre parecido, siga los pasos de cómo encontrar dominios parecidos a su marca.

¿Cómo se transmiten nuevos certificados con CertStream?

CertStream entrega en tiempo real las nuevas entradas de Certificate Transparency, y un script corto marca las que coinciden con su marca. Es rápido pero ruidoso, porque la mayoría de los certificados no tienen relación, así que la regla de coincidencia decide su utilidad.

La biblioteca de Python se instala con pip. Su README registra una función de retorno que recibe un mensaje y un contexto, comprueba que el tipo de mensaje es certificate_update y lee la lista de dominios del certificado hoja. El ejemplo de abajo sigue esa estructura y añade una coincidencia de marca.

# pip install certstream
import certstream

BRAND = 'examplecoin'

def on_cert(message, context):
    if message['message_type'] == 'certificate_update':
        for name in message['data']['leaf_cert']['all_domains']:
            if BRAND in name.lower():
                print(name)

certstream.listen_for_events(on_cert, url='wss://certstream.calidog.io/')

¿Qué cadenas y terminaciones debe vigilar?

Vigile su marca exacta, sus erratas habituales y la marca combinada con palabras como login, claim, airdrop o wallet. Use dnstwist, un motor de permutaciones de código abierto, para generar variantes de su nombre con errores tipográficos, homoglifos, guiones y cambios de extensión, y pase esas cadenas a su comparador.

Pondere las terminaciones según los datos de abuso. Según el estudio de Wardmint del 12 de noviembre de 2026, 6 de las 10 extensiones con más dominios de phishing en los datos de Interisle del 1 de mayo de 2025 al 30 de abril de 2026 las vende Wardmint: .com (869,180 dominios), .pro (130,945), .info (99,602), .xyz (93,987), .shop (79,625) e .icu (74,786). Las otras cuatro son .top, .cn, .vip y .cc. Wardmint no vende .top. Poseer de antemano las terminaciones que vendemos elimina las coincidencias que un atacante podría tomar de otro modo.

El recuento no es riesgo. La puntuación de phishing de Interisle, por cada 10,000 dominios delegados, sitúa a .icu en 1,607 y a .pro en 1,200.1 frente a 53.7 de .com, por lo que un resultado en una terminación pequeña y abusada merece una revisión más rápida que uno en .com. La lista y las puntuaciones están en qué extensiones de dominio se usan más para el phishing.

¿Qué hace cuando aparece un certificado sospechoso?

Compruebe el nombre, registre las pruebas y actúe en el orden que convenga al caso. Para un nombre parecido, cárguelo de forma segura, haga capturas de pantalla, guarde la entrada del certificado y la página, y ejecute los pasos de denuncia. Para un certificado inesperado en su propio dominio, verifique primero sus registros DNS y la cuenta del registrador, porque puede significar que alguien cambió el lugar al que apunta su dominio.

El plan de respuesta está en qué hacer cuando un sitio de phishing suplanta a su proyecto. Un registro CAA limita qué autoridades pueden emitir para sus propios nombres, como se describe en cómo configurar registros CAA. Wardmint registra dominios y registros DNS; no ofrece servicios de monitorización ni de baja, por eso esta guía usa herramientas gratuitas.