Certificate Transparency: почему сертификаты выдают поддомены

Certificate Transparency (CT) — публичные журналы, куда удостоверяющие центры обязаны записывать каждый выпущенный TLS-сертификат. Браузеры не доверяют сертификатам без записи в журнале, поэтому обойти это нельзя.

Что попадает в журнал

Все имена хостов, на которые выпущен сертификат, дата выпуска и удостоверяющий центр. Если один сертификат покрывает shop.example.com, admin.example.com и test-server.example.com, все три имени становятся публичными навсегда. Журналы индексируются сервисами поиска по сертификатам, и найти по ним все поддомены домена — вопрос секунд.

Чем это грозит

• Раскрытие внутренних и тестовых поддоменов, панелей администрирования.
• Связь проектов между собой, если они делят один сертификат.
• Подсказка атакующим, где искать слабые места.

Как выпускать сертификаты аккуратно

1. Один сертификат на одно публичное имя или wildcard *.example.com: wildcard скрывает конкретные поддомены.
2. Внутренние сервисы — на отдельном домене или без публичного сертификата.
3. Не смешивать проекты в одном сертификате.
4. За Cloudflare сертификат выпускается на его стороне, и в журнал попадают только имена, которые вы проксируете.

Приватность домена складывается из нескольких слоёв, и CT — тот, о котором забывают чаще всего. Остальные разобраны в гайде «WHOIS-приватность домена».