Як моніторити прозорість сертифікатів для вашого бренду?

Що таке прозорість сертифікатів і чому вона допомагає крипто-проєкту?

Прозорість сертифікатів — це система публічних журналів, в яких центри сертифікації записують видані ними сертифікати. Оскільки журнали публічні, будь-хто може шукати в них назву, зокрема назву, яка імітує вашу. Фішер, який хоче HTTPS для схожого домену, зазвичай запитує сертифікат, і цей запит стає видимим записом.

Це важить у двох ситуаціях. Перша — схожий домен: атакувальник реєструє назву, що нагадує вашу, отримує сертифікат і починає кампанію. Друга — захоплення: Blockaid повідомила, що у фронтенд-компрометаціях лютого 2026 SSL-сертифікати атакувальників видавали того самого дня, що й зміна DNS, а для домену Nerochain видали wildcard-сертифікати. Запис журналу для вашого власного домену, який ви не запитували, — це ранній сигнал.

Визначення для цитування: моніторинг прозорості сертифікатів — це практика пошуку в публічних журналах сертифікатів назв, які містять ваш бренд, щоб сертифікати схожих доменів і захоплень помічали під час видачі, а не тоді, коли користувачі вже постраждали.

Як шукати свій бренд у crt.sh?

Шукайте в crt.sh за ідентифікатором, використовуючи назву вашого домену і рядок вашого бренду, і переглядайте список щотижня. crt.sh — це сервіс пошуку сертифікатів, яким керує Sectigo. Він приймає як ідентифікатор назву домену або назву організації, відбиток сертифіката або ID crt.sh.

Його сторінка Advanced перелічує оператори збігу Autoselect, equals, ILIKE і LIKE, вибір області, прапорець для виключення прострочених сертифікатів і прапорець для видалення дублікатів пар сертифіката і прекертифіката. Оператори LIKE — це оператори SQL, у яких знак відсотка відповідає будь-якому тексту, тож шаблон на кшталт бренду зі знаком відсотка з кожного боку перелічує назви, що його містять. Сторінка crt.sh не описує символи шаблону, тож перевірте поведінку тестовим пошуком за назвою, яка належить вам.

Записуйте, що знаходите. Тримайте короткий список власних легітимних назв і видавців, а кожен інший запис переглядайте. Для кожної схожої назви виконайте наступні кроки з як знайти схожі домени вашого бренду.

Як стримити нові сертифікати за допомогою CertStream?

CertStream доставляє нові записи Certificate Transparency в реальному часі, а короткий скрипт позначає ті, що збігаються з вашим брендом. Це швидко, але шумно, бо більшість сертифікатів не пов'язані з вами, тож правило зіставлення визначає, наскільки це корисно.

Бібліотека Python встановлюється через pip. Її README реєструє callback, який отримує повідомлення і контекст, перевіряє, що тип повідомлення — certificate_update, і зчитує список доменів із листового сертифіката. Наведений нижче зразок дотримується цієї структури і додає зіставлення з брендом.

# pip install certstream
import certstream

BRAND = 'examplecoin'

def on_cert(message, context):
    if message['message_type'] == 'certificate_update':
        for name in message['data']['leaf_cert']['all_domains']:
            if BRAND in name.lower():
                print(name)

certstream.listen_for_events(on_cert, url='wss://certstream.calidog.io/')

Які рядки і закінчення слід стежити?

Стежте за точною назвою бренду, його поширеними помилками в написанні і брендом у поєднанні зі словами на кшталт login, claim, airdrop або wallet. Використовуйте dnstwist, генератор перестановок з відкритим кодом, щоб створити варіанти з помилками, гомогліфами, дефісами і заміною розширення для вашої назви, і подавайте ці рядки у ваш зіставлювач.

Зважте закінчення за даними про зловживання. За опитуванням Wardmint від 12 листопада 2026, 6 з 10 розширень із найбільшою кількістю фішингових доменів у даних Interisle за 1 травня 2025 — 30 квітня 2026 продає Wardmint: .com (869 180 доменів), .pro (130 945), .info (99 602), .xyz (93 987), .shop (79 625) і .icu (74 786). Решта чотири — .top, .cn, .vip і .cc. Wardmint не продає .top. Заздалегідь володіючи закінченнями, які ви продаєте, ви прибираєте збіги, які інакше міг би отримати атакувальник.

Кількість — не ризик. Оцінка фішингу Interisle на 10 000 делегованих доменів дає .icu 1 607, а .pro 1 200.1 проти 53.7 для .com, тож збіг на малому, зловживаному закінченні заслуговує на швидший розгляд, ніж збіг на .com. Список і оцінки — у які розширення доменів найчастіше використовують для фішингу.

Що робити, коли з'являється підозрілий сертифікат?

Перевірте назву, зафіксуйте докази і дійте в порядку, що пасує до випадку. Для схожої назви завантажте її безпечно, зробіть скриншоти, збережіть запис сертифіката і сторінку, і виконайте кроки звіту. Для неочікуваного сертифіката на вашому власному домені спершу перевірте записи DNS і обліковий запис реєстратора, бо це може означати, що хтось змінив, куди вказує ваш домен.

План реагування — у що робити, коли фішинговий сайт видає себе за ваш проєкт. Запис CAA обмежує, які центри можуть видавати сертифікати для ваших власних назв, як описано в як налаштувати записи CAA. Wardmint реєструє домени і записи DNS; він не веде моніторинг і не займається видаленням сайтів, тому цей гайд використовує безкоштовні інструменти.