Comment surveiller la transparence des certificats pour votre marque ?

Qu'est-ce que la Certificate Transparency, et pourquoi aide-t-elle un projet crypto ?

La Certificate Transparency est un système de journaux publics dans lesquels les autorités de certification enregistrent les certificats qu'elles émettent. Comme les journaux sont publics, chacun peut y chercher un nom, y compris un nom qui imite le vôtre. Un hameçonneur qui veut du HTTPS sur un domaine sosie demande généralement un certificat, et cette demande devient une entrée visible.

Cela compte dans deux situations. La première est le domaine sosie : un attaquant enregistre un nom qui ressemble au vôtre, obtient un certificat et lance une campagne. La seconde est le détournement : Blockaid a rapporté que lors des compromissions de front-end de février 2026, les certificats SSL de l'attaquant avaient été émis le jour même du changement de DNS, et que des certificats génériques avaient été émis pour le domaine de Nerochain. Une entrée de journal pour votre propre domaine que vous n'avez pas demandée est un signal d'alerte précoce.

Une définition citable : la surveillance de la Certificate Transparency consiste à chercher dans les journaux publics de certificats les noms qui contiennent votre marque, afin que les certificats de sosies et de détournements soient vus au moment de leur émission, et non lorsque les utilisateurs sont lésés.

Comment chercher votre marque sur crt.sh ?

Cherchez sur crt.sh par identité, avec votre nom de domaine et la chaîne de votre marque, et passez la liste en revue chaque semaine. crt.sh est un service de recherche de certificats exploité par Sectigo. Il accepte comme identité un nom de domaine ou un nom d'organisation, une empreinte de certificat ou un ID crt.sh.

Sa page Advanced liste les opérateurs de correspondance Autoselect, equals, ILIKE et LIKE, un choix de périmètre, une case pour exclure les certificats expirés et une autre pour dédoublonner les paires certificat/précertificat. Les opérateurs LIKE sont des opérateurs SQL, dans lesquels le signe pourcentage correspond à n'importe quel texte : un motif comme la marque avec un signe pourcentage de chaque côté liste donc les noms qui la contiennent. La page de crt.sh ne documente pas les caractères de motif : confirmez donc le comportement par une recherche de test sur un nom que vous détenez.

Consignez ce que vous trouvez. Gardez une courte liste de vos propres noms et émetteurs légitimes, et passez en revue toute autre entrée. Pour chaque nom sosie, suivez les étapes suivantes de comment trouver les domaines sosies de votre marque.

Comment diffuser les nouveaux certificats avec CertStream ?

CertStream livre en temps réel les nouvelles entrées de Certificate Transparency, et un court script signale celles qui correspondent à votre marque. Il est rapide mais bruyant, car la plupart des certificats n'ont aucun rapport : la règle de correspondance détermine donc son utilité.

La bibliothèque Python s'installe avec pip. Son README enregistre un rappel qui reçoit un message et un contexte, vérifie que le type de message est certificate_update et lit la liste des domaines du certificat feuille. L'exemple ci-dessous suit cette structure et ajoute une correspondance avec la marque.

# pip install certstream
import certstream

BRAND = 'examplecoin'

def on_cert(message, context):
    if message['message_type'] == 'certificate_update':
        for name in message['data']['leaf_cert']['all_domains']:
            if BRAND in name.lower():
                print(name)

certstream.listen_for_events(on_cert, url='wss://certstream.calidog.io/')

Quelles chaînes et quelles extensions surveiller ?

Surveillez votre marque exacte, ses fautes d'orthographe courantes et la marque combinée à des mots comme login, claim, airdrop ou wallet. Utilisez dnstwist, un moteur de permutations open source, pour générer des variantes de votre nom avec fautes de frappe, homoglyphes, traits d'union et changements d'extension, et fournissez ces chaînes à votre outil de correspondance.

Pondérez les extensions selon les données d'abus. Selon le relevé de Wardmint du 12 novembre 2026, 6 des 10 extensions comptant le plus de domaines de phishing dans les données d'Interisle du 1 mai 2025 au 30 avril 2026 sont vendues par Wardmint : .com (869,180 domaines), .pro (130,945), .info (99,602), .xyz (93,987), .shop (79,625) et .icu (74,786). Les quatre autres sont .top, .cn, .vip et .cc. Wardmint ne vend pas le .top. Détenir à l'avance les extensions que nous vendons supprime les correspondances qu'un attaquant pourrait sinon prendre.

Le nombre n'est pas le risque. Le score de phishing d'Interisle, pour 10,000 domaines délégués, place .icu à 1,607 et .pro à 1,200.1 contre 53.7 pour .com : un résultat sur une petite extension abusée mérite donc un examen plus rapide qu'un résultat sur .com. La liste et les scores sont dans quelles extensions de domaine sont les plus utilisées pour le phishing.

Que faire quand un certificat suspect apparaît ?

Vérifiez le nom, consignez les preuves et agissez dans l'ordre qui convient au cas. Pour un nom sosie, chargez-le en toute sécurité, faites des captures d'écran, enregistrez l'entrée du certificat et la page, et suivez les étapes de signalement. Pour un certificat inattendu sur votre propre domaine, vérifiez d'abord vos enregistrements DNS et le compte du registraire, car cela peut signifier que quelqu'un a changé la destination de votre domaine.

Le plan de réaction est dans que faire quand un site de phishing usurpe votre projet. Un enregistrement CAA limite les autorités qui peuvent émettre pour vos propres noms, comme décrit dans comment configurer les enregistrements CAA. Wardmint enregistre des domaines et des enregistrements DNS ; il ne propose ni surveillance ni retrait, c'est pourquoi ce guide utilise des outils gratuits.