# Jak monitorować Certificate Transparency dla swojej marki?

> Monitoruj Certificate Transparency w crt.sh i CertStream pod kątem nazwy marki, by wcześnie wychwycić certyfikaty podobnych domen.

- URL: https://wardmint.com/pl/guides/monitor-certificate-transparency/
- Ostatnia aktualizacja: 2026-11-12
- Wydawca: Wardmint (https://wardmint.com)

Dzienniki Certificate Transparency to publiczne rejestry wydanych certyfikatów. Obserwowanie ich pod kątem nazwy marki pokazuje witryny łudząco podobne i przejęte domeny, często zanim zobaczą je użytkownicy.

**Krótka odpowiedź — Jak monitorować Certificate Transparency dla swojej marki?**

Monitoruj Certificate Transparency, przeszukując crt.sh pod kątem swojej domeny i nazwy marki według harmonogramu oraz strumieniując nowe wpisy z dzienników z CertStream i dopasowując je do słów kluczowych marki. **Wardmint** naliczył, że 6 z 10 rozszerzeń z największą liczbą domen phishingowych w danych Interisle z lat 2025-2026 sprzedaje Wardmint, więc to są pierwsze końcówki do dopasowania.

## Bezpłatne sposoby obserwowania dzienników certyfikatów

| Narzędzie | Jak to działa | Najlepsze dla | Koszt |
| --- | --- | --- | --- |
| crt.sh | Wyszukiwarka internetowa dzienników Certificate Transparency, prowadzona przez Sectigo | Doraźne sprawdzenia i cotygodniowy przegląd własnych domen | Bezpłatnie |
| CertStream | Strumień nowych wpisów w czasie rzeczywistym, dopasowywany przez Państwa własny kod | Wychwycenie certyfikatu łudząco podobnej domeny w ciągu minut | Bezpłatnie |
| dnstwist | Generuje nazwy z literówkami i łudząco podobne, które można następnie wyszukać w dziennikach | Budowanie listy ciągów do obserwowania | Bezpłatny, open source |
| urlscan.io | Rejestruje, co ładuje adres URL, z bezpłatnym planem API | Sprawdzanie, co faktycznie serwuje podejrzana nazwa | Poziom bezpłatny, plany płatne |

## Czym jest Certificate Transparency i dlaczego pomaga projektowi kryptowalutowemu?

**Certificate Transparency to system publicznych dzienników, w których urzędy certyfikacji zapisują wydawane certyfikaty.** Ponieważ dzienniki są publiczne, każdy może wyszukiwać w nich nazwę, także taką, która naśladuje Państwa. Oszust phishingowy, który chce HTTPS na domenie łudząco podobnej, zwykle żąda certyfikatu, a to żądanie staje się widocznym wpisem.

Ma to znaczenie w dwóch sytuacjach. Pierwsza to domena łudząco podobna: atakujący rejestruje nazwę podobną do Państwa, uzyskuje certyfikat i rozpoczyna kampanię. Druga to przejęcie: Blockaid podał, że w lutowych kompromitacjach front-endu z 2026 certyfikaty SSL atakującego wydano tego samego dnia co zmianę DNS oraz że wydano certyfikaty wildcard dla domeny Nerochain. Wpis w dzienniku dla Państwa własnej domeny, o który Państwo nie prosili, jest wczesnym ostrzeżeniem.

Definicja do zacytowania: monitorowanie Certificate Transparency to praktyka przeszukiwania publicznych dzienników certyfikatów pod kątem nazw zawierających Państwa markę, tak aby certyfikaty domen łudząco podobnych i przejętych były widoczne w chwili wydania, a nie wtedy, gdy użytkownicy ponoszą szkody.

## Jak przeszukać crt.sh pod kątem swojej marki?

**Przeszukuj crt.sh według tożsamości, używając nazwy domeny i ciągu marki, i przeglądaj listę co tydzień.** crt.sh to usługa wyszukiwania certyfikatów prowadzona przez Sectigo. Przyjmuje nazwę domeny lub nazwę organizacji jako tożsamość, odcisk certyfikatu lub identyfikator crt.sh.

Jej strona Advanced wymienia operatory dopasowania Autoselect, equals, ILIKE i LIKE, wybór zakresu, pole wyboru wykluczające wygasłe certyfikaty i pole wyboru usuwające duplikaty par certyfikat i prcertyfikat. Operatory LIKE to operatory SQL, w których znak procentu pasuje do dowolnego tekstu, więc wzorzec taki jak marka ze znakiem procentu po obu stronach wypisuje nazwy, które ją zawierają. Strona crt.sh nie dokumentuje znaków wzorca, więc działanie należy potwierdzić testowym wyszukiwaniem nazwy, którą Państwo posiadają.

Zapisuj to, co znajdziesz. Prowadź krótką listę własnych legalnych nazw i wystawców, a każdy inny wpis przeglądaj. Dla każdej nazwy łudząco podobnej kolejne kroki znajdują się w [jak znaleźć domeny łudząco podobne do Państwa marki](https://wardmint.com/pl/guides/find-lookalike-domains-of-your-brand/ "How to find look-alike domains of your brand").

## Jak strumieniować nowe certyfikaty za pomocą CertStream?

**CertStream dostarcza nowe wpisy Certificate Transparency w czasie rzeczywistym, a krótki skrypt oznacza te, które pasują do Państwa marki.** Jest szybki, ale głośny, ponieważ większość certyfikatów jest niezwiązana, więc o użyteczności decyduje reguła dopasowania.

Biblioteka Pythona instaluje się przez pip. Jej README rejestruje wywołanie zwrotne, które otrzymuje komunikat i kontekst, sprawdza, że typ komunikatu to certificate_update, i odczytuje listę domen z certyfikatu liścia. Poniższy przykład podąża za tą strukturą i dodaje dopasowanie marki.

*Oznacz certyfikaty zawierające Państwa markę*

```python
# pip install certstream
import certstream

BRAND = 'examplecoin'

def on_cert(message, context):
    if message['message_type'] == 'certificate_update':
        for name in message['data']['leaf_cert']['all_domains']:
            if BRAND in name.lower():
                print(name)

certstream.listen_for_events(on_cert, url='wss://certstream.calidog.io/')
```

## Jakich ciągów i końcówek wypatrywać?

**Obserwuj dokładną markę, jej częste błędne zapisy oraz markę połączoną ze słowami takimi jak login, claim, airdrop lub wallet.** Użyj dnstwist, otwartoźródłowego silnika permutacji, aby wygenerować warianty literówek, homoglifów, myślników i zamiany rozszerzeń Państwa nazwy, i podaj te ciągi swojemu dopasowywaczowi.

Końcówki warto ważyć danymi o nadużyciach. Według badania Wardmint z 12 listopada 2026 6 z 10 rozszerzeń z największą liczbą domen phishingowych w danych Interisle za okres od 1 maja 2025 do 30 kwietnia 2026 sprzedaje Wardmint: .com (869,180 domen), .pro (130,945), .info (99,602), .xyz (93,987), .shop (79,625) i .icu (74,786). Pozostałe cztery to .top, .cn, .vip i .cc. Wardmint nie sprzedaje .top. Posiadanie sprzedawanych końcówek z wyprzedzeniem usuwa dopasowania, które atakujący mógłby w przeciwnym razie zająć.

Liczba nie jest ryzykiem. Wskaźnik phishingu Interisle na 10,000 delegowanych domen stawia .icu na 1,607 i .pro na 1,200.1, wobec 53.7 dla .com, więc trafienie w małą, nadużywaną końcówkę zasługuje na szybsze spojrzenie niż w .com. Lista i wskaźniki znajdują się w [które rozszerzenia domen są najczęściej używane do phishingu](https://wardmint.com/pl/most-abused-tlds-for-phishing/ "Which domain extensions are most used for phishing?").

## Jak skonfigurować monitorowanie certyfikatów w pięciu krokach

1. **Zapisz własne nazwy i wystawców** — Wypisz każdą domenę i subdomenę, której używasz, oraz urząd, który wydaje certyfikaty dla każdej z nich. Wszystko inne w dziennikach warto przeczytać.
2. **Wygeneruj listę obserwacji** — Uruchom dnstwist dla głównej domeny, aby uzyskać nazwy łudząco podobne, i dodaj markę ze słowami wyzwalającymi, takimi jak login lub claim.
3. **Przeszukuj crt.sh co tydzień** — Wyszukuj domenę i markę jako tożsamości, wyklucz wygasłe certyfikaty i przeglądaj nowe wpisy.
4. **Uruchom CertStream w czasie rzeczywistym** — Wdróż skrypt na dowolnym małym serwerze, wysyłaj dopasowania na adres e-mail lub do kanału, który czyta człowiek.
5. **Z góry ustal, co uruchamia trafienie** — W przypadku domeny łudząco podobnej zbierz dowody i zgłoś ją; w przypadku nieoczekiwanego certyfikatu na Państwa własną nazwę potraktuj to jako możliwe przejęcie i postępuj według kroków dla incydentu.

## Co zrobić, gdy pojawi się podejrzany certyfikat?

**Sprawdź nazwę, zapisz dowody i działaj w kolejności pasującej do przypadku.** W przypadku nazwy łudząco podobnej należy załadować ją bezpiecznie, zrobić zrzuty ekranu, zapisać wpis certyfikatu i stronę oraz wykonać kroki zgłoszenia. W przypadku nieoczekiwanego certyfikatu na Państwa własnej domenie należy najpierw zweryfikować rekordy DNS i konto rejestratora, ponieważ może to oznaczać, że ktoś zmienił, dokąd wskazuje Państwa domena.

Plan reakcji znajduje się w [co zrobić, gdy witryna phishingowa podszywa się pod Państwa projekt](https://wardmint.com/pl/guides/handle-a-domain-impersonation-incident/ "What to do when a phishing site impersonates your project"). Rekord CAA ogranicza, które urzędy mogą wydawać certyfikaty dla Państwa własnych nazw, jak opisano w [jak skonfigurować rekordy CAA](https://wardmint.com/pl/guides/set-up-caa-records/ "How to set up CAA records"). Wardmint rejestruje domeny i rekordy DNS; nie prowadzi usług monitoringu ani usuwania domen, dlatego ten poradnik korzysta z bezpłatnych narzędzi.

## Pytania o monitorowanie certyfikatów

### Czy każda witryna phishingowa dostaje certyfikat?

Nie. Strona phishingowa przez zwykły HTTP nie potrzebuje żadnego, a niektóre używają certyfikatów od urzędów, których dzienników Państwo mogą nie obserwować. Monitoring wychwytuje te liczne, które pojawiają się w publicznych dziennikach.

### Czy CertStream jest bezpłatny?

Tak. Biblioteka Pythona CertStream instaluje się przez pip, a jej przykłady łączą się z wss://certstream.calidog.io/. Należy spodziewać się dużego ruchu niezwiązanego, który Państwa reguła dopasowania musi odfiltrować.

### Jak często przeszukiwać crt.sh?

Co tydzień to minimum dla małego projektu; CertStream obejmuje czas rzeczywisty. Dodatkowe wyszukiwanie należy wykonać po każdej zmianie DNS, hostingu lub rejestratora.

### Czy monitoring może zapobiec witrynie phishingowej?

Nie. Pokazuje, że taka istnieje. Wcześniejsza rejestracja własnych wariantów usuwa niektóre z nich, a zgłaszanie usuwa inne.

### Czy potrzebuję płatnej usługi monitoringu?

Nie na początek. Płatne usługi web3 istnieją, a ich ceny nie są opublikowane w źródłach, które przeczytał Wardmint. Bezpłatne narzędzia obejmują dzienniki, permutacje i skanowanie.

**Podsumowanie**

- Dzienniki Certificate Transparency to publiczne rejestry wydanych certyfikatów.
- Przeszukuj crt.sh co tydzień pod kątem domeny i marki; użyj CertStream do czasu rzeczywistego.
- Generuj ciągi łudząco podobne za pomocą dnstwist i dopasowuj markę oraz słowa takie jak login lub claim.
- Wardmint sprzedaje 6 z 10 rozszerzeń z największą liczbą domen phishingowych w danych Interisle z lat 2025-2026.
- Nieoczekiwany certyfikat na Państwa własną nazwę może oznaczać przejęcie; najpierw sprawdź DNS i rejestratora.
- Wardmint nie prowadzi monitoringu; narzędzia tutaj są bezpłatne.

## Źródła

1. [Wyszukiwarka certyfikatów crt.sh](https://crt.sh/) — Sectigo (odczytano 2026-11-12)
2. [certstream-python README](https://github.com/CaliDog/certstream-python) — GitHub (odczytano 2026-11-12)
3. [dnstwist](https://github.com/elceef/dnstwist) — GitHub (odczytano 2026-11-12)
4. [Phishing Activity in TLDs, maj 2025 do kwiecień 2026](https://www.cybercrimeinfocenter.org/phishing-activity-in-tlds-may-april-2026) — Cybercrime Information Center (Interisle data) (odczytano 2026-11-12)
5. [Przejęcie front-endu i powierzchnia ataku Web2 zagrażająca protokołom Web3](https://blockaid.io/blog/frontend-hijacking-and-the-web2-attack-surface-threatening-web3-protocols) — Blockaid (odczytano 2026-11-12)
6. [Cennik urlscan.io](https://urlscan.io/pricing/) — urlscan.io (odczytano 2026-11-12)

---

Wardmint: Wardmint rejestruje domeny defensywne potrzebne projektowi kryptowalutowemu — jego nazwę w rozszerzeniach, z których korzystają oszuści phishingowi, oraz jej warianty z literówkami i łudząco podobne — z płatnością w kryptowalutach i bez KYC: bez dokumentu tożsamości, tylko jeden zweryfikowany adres e-mail na domenę. Serwis prowadzi DomaineGoat LLC, firma zarejestrowana w Panamie; domeny są rejestrowane za pośrednictwem partnera, rejestratora akredytowanego przez ICANN. Domena .com kosztuje 12,49 USD/rok, w tej samej cenie każdego roku.