چگونه شفافیت گواهی را برای برندتان پایش می‌کنید؟

شفافیت گواهی چیست و چرا به یک پروژه کریپتو کمک می‌کند؟

شفافیت گواهی سیستمی از لاگ‌های عمومی است که در آن مراجع صدور گواهی، گواهی‌هایی را که صادر می‌کنند ثبت می‌کنند. چون لاگ‌ها عمومی‌اند، هر کسی می‌تواند برای یک نام، از جمله نامی که تقلید شما باشد، در آن‌ها جستجو کند. فیشری که می‌خواهد HTTPS روی یک دامنه شبیه‌نما داشته باشد معمولاً یک گواهی درخواست می‌کند، و آن درخواست به یک ورودی قابل‌مشاهده تبدیل می‌شود.

این موضوع برای دو وضعیت اهمیت دارد. اولی دامنه شبیه‌نما است: مهاجم نامی شبیه نام شما ثبت می‌کند، گواهی می‌گیرد و کمپین را آغاز می‌کند. دومی ربودن است: Blockaid گزارش داد که در سازش‌های رابط کاربری فوریه 2026، گواهی‌های SSL مهاجم در همان روز تغییر DNS صادر شدند، و گواهی‌های wildcard برای دامنه Nerochain صادر شدند. یک ورودی لاگ برای دامنه خودتان که آن را درخواست نکرده‌اید، یک هشدار زودهنگام است.

یک تعریف قابل استناد: پایش شفافیت گواهی یعنی جستجو در لاگ‌های عمومی گواهی برای نام‌هایی که برند شما را دارند، تا گواهی‌های شبیه‌نما و ربودن هنگام صدور دیده شوند، نه وقتی که کاربران آسیب دیده‌اند.

چگونه crt.sh را برای برندتان جستجو کنیم؟

crt.sh را بر اساس هویت جستجو کنید، با استفاده از نام دامنه و رشته برندتان، و فهرست را هفتگی بررسی کنید. crt.sh یک سرویس جستجوی گواهی است که Sectigo آن را اداره می‌کند. نام دامنه یا نام سازمان را به‌عنوان هویت، اثرانگشت گواهی یا شناسه crt.sh می‌پذیرد.

صفحه پیشرفته آن عملگرهای تطبیق Autoselect، equals، ILIKE و LIKE، یک گزینه محدوده، یک کادر برای حذف گواهی‌های منقضی‌شده، و یک کادر برای حذف تکراری جفت‌های گواهی و پیش‌گواهی را فهرست می‌کند. عملگرهای LIKE، عملگرهای SQL هستند که در آن‌ها علامت درصد با هر متنی تطبیق می‌کند، پس الگویی مانند برند با یک علامت درصد در هر طرف، نام‌هایی را فهرست می‌کند که آن را دارند. صفحه crt.sh نویسه‌های الگو را مستند نمی‌کند، پس رفتار را با یک جستجوی آزمایشی روی نامی که مال خودتان است تأیید کنید.

آنچه پیدا می‌کنید را ثبت کنید. فهرست کوتاهی از نام‌ها و صادرکنندگان مشروع خودتان نگه دارید، و هر ورودی دیگر را بررسی کنید. برای هر نام شبیه‌نما، گام‌های بعدی را از چگونه دامنه‌های شبیه برندتان را پیدا کنیم بردارید.

چگونه گواهی‌های جدید را با CertStream پخش زنده کنیم؟

CertStream ورودی‌های جدید شفافیت گواهی را به‌صورت زنده تحویل می‌دهد، و یک اسکریپت کوتاه آن‌هایی را که با برندتان تطبیق دارند علامت می‌زند. سریع است اما پر از نویز، چون بیشتر گواهی‌ها بی‌ربط‌اند، پس قاعده تطبیق تعیین می‌کند چقدر مفید است.

کتابخانه Python با pip نصب می‌شود. README آن یک callback ثبت می‌کند که یک پیام و یک زمینه دریافت می‌کند، بررسی می‌کند که نوع پیام certificate_update باشد، و فهرست دامنه‌ها را از گواهی برگ می‌خواند. نمونه زیر آن ساختار را دنبال می‌کند و یک تطبیق برند اضافه می‌کند.

# pip install certstream
import certstream

BRAND = 'examplecoin'

def on_cert(message, context):
    if message['message_type'] == 'certificate_update':
        for name in message['data']['leaf_cert']['all_domains']:
            if BRAND in name.lower():
                print(name)

certstream.listen_for_events(on_cert, url='wss://certstream.calidog.io/')

کدام رشته‌ها و پسوندها را باید زیر نظر بگیرید؟

برند دقیق خود، غلط‌های املایی رایج آن، و برند به همراه کلماتی مانند login، claim، airdrop یا wallet را زیر نظر بگیرید. از dnstwist، یک موتور جایگشت متن‌باز، برای تولید واریانت‌های تایپی، هوموگلیف، خط تیره و جابه‌جایی پسوند نام خود استفاده کنید، و آن رشته‌ها را به تطبیق‌گر خود بدهید.

پسوندها را بر اساس داده‌های سوءاستفاده وزن‌دهی کنید. بر اساس بررسی Wardmint در 12 نوامبر 2026، 6 تا از 10 پسوندی که بیشترین دامنه فیشینگ را در داده‌های Interisle برای 1 مه 2025 تا 30 آوریل 2026 دارند توسط Wardmint فروخته می‌شوند: .com (869,180 دامنه)، .pro (130,945)، .info (99,602)، .xyz (93,987)، .shop (79,625) و .icu (74,786). چهار مورد دیگر .top، .cn، .vip و .cc هستند. Wardmint .top را نمی‌فروشد. مالکیت پسوندهایی که می‌فروشید از پیش، تطبیق‌هایی را که مهاجم می‌توانست بگیرد حذف می‌کند.

شمارش همان ریسک نیست. امتیاز فیشینگ Interisle به ازای هر 10,000 دامنه واگذارشده، .icu را 1,607 و .pro را 1,200.1 در برابر 53.7 برای .com قرار می‌دهد، پس تطبیق روی یک پسوند کوچک و سوءاستفاده‌شده باید سریع‌تر بررسی شود تا روی .com. فهرست و امتیازها در کدام پسوندهای دامنه بیشتر برای فیشینگ استفاده می‌شوند آمده‌اند.

وقتی یک گواهی مشکوک ظاهر می‌شود چه می‌کنید؟

نام را بررسی کنید، شواهد را ثبت کنید و به ترتیبی اقدام کنید که با مورد جور باشد. برای یک نام شبیه‌نما، آن را با احتیاط بارگذاری کنید، اسکرین‌شات بگیرید، ورودی گواهی و صفحه را ذخیره کنید، و مراحل گزارش را اجرا کنید. برای یک گواهی غیرمنتظره روی دامنه خودتان، نخست رکوردهای DNS و حساب ثبت‌کننده را تأیید کنید، زیرا ممکن است کسی مقصد دامنه‌تان را تغییر داده باشد.

برنامه پاسخ در چه کنیم وقتی یک سایت فیشینگ پروژه‌تان را جا می‌زند آمده است. یک رکورد CAA محدود می‌کند کدام مراجع می‌توانند برای نام‌های خودتان صادر کنند، همان‌طور که در چگونه رکوردهای CAA را تنظیم کنیم شرح داده شده. Wardmint دامنه و رکوردهای DNS را ثبت می‌کند؛ خدمات پایش یا حذف انجام نمی‌دهد، و به همین دلیل این راهنما از ابزارهای رایگان استفاده می‌کند.