Hur övervakar du certifikattransparens för ditt varumärke?

Vad är certifikattransparens, och varför hjälper det ett kryptoprojekt?

Certifikattransparens är ett system av publika loggar där certifikatutfärdare registrerar de certifikat de utfärdar. Eftersom loggarna är publika kan vem som helst söka i dem efter ett namn, inklusive ett namn som imiterar ditt. En nätfiskare som vill ha HTTPS på en look-alike-domän begär vanligtvis ett certifikat, och den begäran blir en synlig post.

Detta spelar roll i två situationer. Den första är look-alike-domänen: en angripare registrerar ett namn som liknar ditt, skaffar ett certifikat och startar en kampanj. Den andra är kapningen: Blockaid rapporterade att i frontend-intrången i februari 2026 utfärdades angriparens SSL-certifikat samma dag som DNS-ändringen, och att wildcard-certifikat utfärdades för Nerochain-domänen. En loggpost för din egen domän som du inte begärde är en tidig varning.

En citerbar definition: certifikattransparens-övervakning är praxisen att söka i publika certifikatloggar efter namn som innehåller ditt varumärke, så att look-alike- och kapningscertifikat ses när de utfärdas, inte när användare skadas.

Hur söker du i crt.sh efter ditt varumärke?

Sök i crt.sh efter identitet, med ditt domännamn och din varumärkessträng, och granska listan varje vecka. crt.sh är en certifikatsökningstjänst som drivs av Sectigo. Den tar ett domännamn eller organisationsnamn som identitet, ett certifikatfingeravtryck eller ett crt.sh-ID.

Dess Advanced-sida listar matchningsoperatorerna Autoselect, equals, ILIKE och LIKE, ett omfångsval, en kryssruta för att utesluta utgångna certifikat och en för att deduplicera certifikat- och förcertifikatpar. LIKE-operatorerna är SQL-operatorer där procenttecknet matchar valfri text, så ett mönster som varumärket med ett procenttecken på varje sida listar namn som innehåller det. crt.sh:s sida dokumenterar inte mönstertecknen, så bekräfta beteendet med en testsökning på ett namn du äger.

Skriv ned det du hittar. Behåll en kort lista över dina egna legitima namn och utfärdare, och granska varje annan post. För varje look-alike-namn, ta nästa steg från hur du hittar look-alike-domäner för ditt varumärke.

Hur strömmar du nya certifikat med CertStream?

CertStream levererar nya certifikattransparens-poster i realtid, och ett kort skript flaggar de som matchar ditt varumärke. Det är snabbt men brusigt, eftersom de flesta certifikat inte har något med saken att göra, så matchningsregeln avgör hur användbart det är.

Det Python-biblioteket installeras med pip. Dess README registrerar en callback som tar emot ett meddelande och en kontext, kontrollerar att meddelandetypen är certificate_update och läser listan med domäner från löv-certifikatet. Exemplet nedan följer den strukturen och lägger till en varumärkesmatchning.

# pip install certstream
import certstream

BRAND = 'examplecoin'

def on_cert(message, context):
    if message['message_type'] == 'certificate_update':
        for name in message['data']['leaf_cert']['all_domains']:
            if BRAND in name.lower():
                print(name)

certstream.listen_for_events(on_cert, url='wss://certstream.calidog.io/')

Vilka strängar och ändelser ska du bevaka?

Bevaka ditt exakta varumärke, dess vanliga stavfel och varumärket kombinerat med ord som login, claim, airdrop eller wallet. Använd dnstwist, en öppen permutationsmotor, för att generera stavfels-, homoglyf-, bindestreck- och tilläggsbytesvarianter av ditt namn, och mata in de strängarna i din matchare.

Väg ändelserna efter missbruksdata. Enligt Wardmints undersökning den 12 november 2026 säljs 6 av de 10 tillägg med flest nätfiskedomäner i Interisles data för 1 maj 2025 till 30 april 2026 av Wardmint: .com (869,180 domäner), .pro (130,945), .info (99,602), .xyz (93,987), .shop (79,625) och .icu (74,786). De övriga fyra är .top, .cn, .vip och .cc. Wardmint säljer inte .top. Att äga de ändelser du säljer i förväg tar bort de matchningar en angripare annars kunde ta.

Antal är inte risk. Interisles nätfiskepoäng, per 10,000 delegerade domäner, ger .icu 1,607 och .pro 1,200.1 mot 53.7 för .com, så en träff på en liten, missbrukad ändelse förtjänar en snabbare granskning än en träff på .com. Listan och poängen finns i vilka domäntillägg som används mest för nätfiske.

Vad gör du när ett misstänkt certifikat dyker upp?

Kontrollera namnet, spara bevisen och agera i den ordning som passar fallet. För ett look-alike-namn laddar du det säkert, tar skärmbilder, sparar certifikatposten och sidan och kör anmälningsstegen. För ett oväntat certifikat på din egen domän verifierar du först dina DNS-poster och registrarkontot, eftersom det kan betyda att någon ändrat vart din domän pekar.

Responsplanen finns i vad du ska göra när en nätfisksida utger sig för att vara ditt projekt. En CAA-post begränsar vilka utfärdare som får utfärda för dina egna namn, enligt beskrivningen i hur du ställer in CAA-poster. Wardmint registrerar domäner och DNS-poster; det driver inga övervaknings- eller nedtagningstjänster, vilket är anledningen till att den här guiden använder kostnadsfria verktyg.