Como monitorar o Certificate Transparency da sua marca?

O que é o Certificate Transparency e por que ele ajuda um projeto cripto?

O Certificate Transparency é um sistema de registros públicos em que as autoridades certificadoras anotam os certificados que emitem. Como os registros são públicos, qualquer pessoa pode pesquisar um nome neles, inclusive um nome que imite o seu. Um golpista que quer HTTPS em um domínio parecido geralmente solicita um certificado, e esse pedido se torna uma entrada visível.

Isso importa em duas situações. A primeira é o domínio parecido: um atacante registra um nome que se parece com o seu, obtém um certificado e inicia uma campanha. A segunda é o sequestro: a Blockaid informou que, nos comprometimentos de front-end de fevereiro de 2026, os certificados SSL do atacante foram emitidos no mesmo dia da mudança de DNS, e que certificados curinga foram emitidos para o domínio da Nerochain. Uma entrada de registro para o seu próprio domínio que você não solicitou é um alerta precoce.

Uma definição citável: o monitoramento de Certificate Transparency é a prática de pesquisar registros públicos de certificados em busca de nomes que contenham a sua marca, de modo que certificados de domínios parecidos e de sequestros sejam vistos quando são emitidos, e não quando os usuários são prejudicados.

Como pesquisar sua marca no crt.sh?

Pesquise no crt.sh por identidade, usando o nome do seu domínio e o texto da sua marca, e revise a lista toda semana. O crt.sh é um serviço de busca de certificados operado pela Sectigo. Aceita um nome de domínio ou o nome de uma organização como identidade, uma impressão digital de certificado ou um ID do crt.sh.

Sua página Advanced lista os operadores de correspondência Autoselect, equals, ILIKE e LIKE, uma escolha de escopo, uma caixa para excluir certificados expirados e outra para eliminar duplicatas de pares de certificado e pré-certificado. Os operadores LIKE são operadores SQL, em que o sinal de porcentagem corresponde a qualquer texto, de modo que um padrão como a marca com um sinal de porcentagem de cada lado lista os nomes que a contêm. A página do crt.sh não documenta os caracteres de padrão, então confirme o comportamento com uma busca de teste em um nome que seja seu.

Registre o que encontrar. Mantenha uma lista curta de seus próprios nomes e emissores legítimos e revise todas as outras entradas. Para cada nome parecido, siga os próximos passos de como encontrar domínios parecidos com os da sua marca.

Como acompanhar novos certificados com o CertStream?

O CertStream entrega novas entradas de Certificate Transparency em tempo real, e um script curto sinaliza as que correspondem à sua marca. É rápido, mas ruidoso, porque a maioria dos certificados não tem relação, então a regra de correspondência decide o quanto ele é útil.

A biblioteca Python se instala com pip. Seu README registra um callback que recebe uma mensagem e um contexto, verifica que o tipo da mensagem é certificate_update e lê a lista de domínios do certificado folha. O exemplo abaixo segue essa estrutura e acrescenta uma correspondência com a marca.

# pip install certstream
import certstream

BRAND = 'examplecoin'

def on_cert(message, context):
    if message['message_type'] == 'certificate_update':
        for name in message['data']['leaf_cert']['all_domains']:
            if BRAND in name.lower():
                print(name)

certstream.listen_for_events(on_cert, url='wss://certstream.calidog.io/')

Quais textos e terminações você deve vigiar?

Vigie a sua marca exata, seus erros de ortografia comuns e a marca combinada com palavras como login, claim, airdrop ou wallet. Use o dnstwist, um motor de permutações de código aberto, para gerar variantes do seu nome com erros de digitação, homóglifos, hifenização e troca de extensão, e alimente seu comparador com esses textos.

Dê peso às terminações segundo os dados de abuso. Segundo o levantamento da Wardmint de 12 de novembro de 2026, 6 das 10 extensões com mais domínios de phishing nos dados da Interisle de 1 de maio de 2025 a 30 de abril de 2026 são vendidas pela Wardmint: .com (869,180 domínios), .pro (130,945), .info (99,602), .xyz (93,987), .shop (79,625) e .icu (74,786). As outras quatro são .top, .cn, .vip e .cc. A Wardmint não vende .top. Possuir antecipadamente as terminações que vendemos elimina as correspondências que um atacante poderia tomar.

Contagem não é risco. A pontuação de phishing da Interisle, por 10,000 domínios delegados, coloca o .icu em 1,607 e o .pro em 1,200.1 contra 53.7 do .com, então um resultado em uma terminação pequena e abusada merece um olhar mais rápido que um em .com. A lista e as pontuações estão em quais extensões de domínio são mais usadas para phishing.

O que fazer quando aparece um certificado suspeito?

Verifique o nome, registre as provas e aja na ordem que couber ao caso. Para um nome parecido, carregue-o com segurança, tire capturas de tela, salve a entrada do certificado e a página e execute as etapas de denúncia. Para um certificado inesperado no seu próprio domínio, verifique primeiro seus registros de DNS e a conta do registrador, porque pode significar que alguém mudou para onde o seu domínio aponta.

O plano de resposta está em o que fazer quando um site de phishing se passa pelo seu projeto. Um registro CAA limita quais autoridades podem emitir para os seus próprios nomes, como descrito em como configurar registros CAA. A Wardmint registra domínios e registros DNS; não oferece serviços de monitoramento nem de derrubada, e por isso este guia usa ferramentas gratuitas.