Come si monitora la certificate transparency per il proprio marchio?

Cos'è Certificate Transparency e perché aiuta un progetto crypto?

Certificate Transparency è un sistema di registri pubblici in cui le autorità di certificazione annotano i certificati che emettono. Poiché i registri sono pubblici, chiunque può cercarvi un nome, compreso un nome che imita il vostro. Un phisher che vuole HTTPS su un dominio simile di solito richiede un certificato, e quella richiesta diventa una voce visibile.

Ciò conta in due situazioni. La prima è il dominio simile: un attaccante registra un nome che somiglia al vostro, ottiene un certificato e avvia una campagna. La seconda è il dirottamento: Blockaid ha riferito che nelle compromissioni di front end del febbraio 2026 i certificati SSL dell'attaccante sono stati emessi lo stesso giorno della modifica del DNS, e che sono stati emessi certificati wildcard per il dominio di Nerochain. Una voce di registro per il vostro dominio che non avete richiesto è un segnale d'allarme precoce.

Una definizione citabile: il monitoraggio di Certificate Transparency è la pratica di cercare nei registri pubblici dei certificati i nomi che contengono il vostro marchio, in modo che i certificati di domini simili e di dirottamenti siano visti quando vengono emessi, non quando gli utenti subiscono danni.

Come si cerca il proprio marchio su crt.sh?

Cercate su crt.sh per identità, usando il nome del vostro dominio e la stringa del vostro marchio, e rivedete l'elenco ogni settimana. crt.sh è un servizio di ricerca di certificati gestito da Sectigo. Accetta come identità un nome di dominio o il nome di un'organizzazione, un'impronta di certificato o un ID crt.sh.

La sua pagina Advanced elenca gli operatori di corrispondenza Autoselect, equals, ILIKE e LIKE, una scelta dell'ambito, una casella per escludere i certificati scaduti e una per deduplicare le coppie certificato e precertificato. Gli operatori LIKE sono operatori SQL, in cui il simbolo di percentuale corrisponde a qualsiasi testo, quindi un pattern come il marchio con un simbolo di percentuale su ciascun lato elenca i nomi che lo contengono. La pagina di crt.sh non documenta i caratteri dei pattern, quindi confermate il comportamento con una ricerca di prova su un nome che possedete.

Registrate ciò che trovate. Tenete un breve elenco dei vostri nomi legittimi e degli emittenti, e rivedete ogni altra voce. Per ogni nome simile, seguite i passaggi successivi di come trovare i domini simili al proprio marchio.

Come si ricevono in streaming i nuovi certificati con CertStream?

CertStream consegna in tempo reale le nuove voci di Certificate Transparency, e un breve script segnala quelle che corrispondono al vostro marchio. È veloce ma rumoroso, perché la maggior parte dei certificati non c'entra, quindi la regola di corrispondenza decide quanto sia utile.

La libreria Python si installa con pip. Il suo README registra una callback che riceve un messaggio e un contesto, verifica che il tipo di messaggio sia certificate_update e legge l'elenco dei domini dal certificato foglia. L'esempio qui sotto segue quella struttura e aggiunge una corrispondenza con il marchio.

# pip install certstream
import certstream

BRAND = 'examplecoin'

def on_cert(message, context):
    if message['message_type'] == 'certificate_update':
        for name in message['data']['leaf_cert']['all_domains']:
            if BRAND in name.lower():
                print(name)

certstream.listen_for_events(on_cert, url='wss://certstream.calidog.io/')

Quali stringhe e terminazioni dovreste sorvegliare?

Sorvegliate il vostro marchio esatto, i suoi errori di ortografia più comuni e il marchio combinato con parole come login, claim, airdrop o wallet. Usate dnstwist, un motore di permutazioni open source, per generare varianti del vostro nome con errori di battitura, omoglifi, trattini e scambi di estensione, e fornite quelle stringhe al vostro sistema di corrispondenza.

Date peso alle terminazioni in base ai dati sugli abusi. Secondo l'indagine di Wardmint del 12 novembre 2026, 6 delle 10 estensioni con più domini di phishing nei dati Interisle dal 1 maggio 2025 al 30 aprile 2026 sono vendute da Wardmint: .com (869,180 domini), .pro (130,945), .info (99,602), .xyz (93,987), .shop (79,625) e .icu (74,786). Le altre quattro sono .top, .cn, .vip e .cc. Wardmint non vende .top. Possedere in anticipo le terminazioni che vendiamo elimina le corrispondenze che un attaccante potrebbe altrimenti prendersi.

Il numero non è il rischio. Il punteggio di phishing di Interisle, per 10,000 domini delegati, colloca .icu a 1,607 e .pro a 1,200.1 contro 53.7 per .com, quindi un riscontro su una terminazione piccola e abusata merita un'occhiata più rapida di uno su .com. L'elenco e i punteggi sono in quali estensioni di dominio sono più usate per il phishing.

Cosa fare quando compare un certificato sospetto?

Verificate il nome, registrate le prove e agite nell'ordine adatto al caso. Per un nome simile, caricatelo in sicurezza, fate screenshot, salvate la voce del certificato e la pagina, ed eseguite i passaggi di segnalazione. Per un certificato inatteso sul vostro dominio, verificate prima i vostri record DNS e l'account del registrar, perché può significare che qualcuno ha cambiato dove punta il vostro dominio.

Il piano di risposta è in cosa fare quando un sito di phishing impersona il vostro progetto. Un record CAA limita quali autorità possono emettere certificati per i vostri nomi, come descritto in come configurare i record CAA. Wardmint registra domini e record DNS; non offre servizi di monitoraggio o di rimozione, ed è per questo che questa guida usa strumenti gratuiti.