# Certificate Transparency: почему сертификаты выдают поддомены

> Что такое журналы Certificate Transparency, какие данные о домене в них попадают, как по ним находят скрытые поддомены и как выпускать сертификаты без утечек.

- Language: ru
- Published: 2026-11-01 · Updated: 2026-11-01
- HTML: https://rikidomains.at/ru/glossary/certificate-transparency/
- Markdown: https://rikidomains.at/ru/glossary/certificate-transparency/index.md
- EN version: https://rikidomains.at/en/glossary/certificate-transparency/

**Certificate Transparency (CT)** — публичные журналы, куда удостоверяющие центры обязаны записывать каждый выпущенный TLS-сертификат. Браузеры не доверяют сертификатам без записи в журнале, поэтому обойти это нельзя.

## Что попадает в журнал

Все имена хостов, на которые выпущен сертификат, дата выпуска и удостоверяющий центр. Если один сертификат покрывает `shop.example.com`, `admin.example.com` и `test-server.example.com`, все три имени становятся публичными навсегда. Журналы индексируются сервисами поиска по сертификатам, и найти по ним все поддомены домена — вопрос секунд.

## Чем это грозит

- Раскрытие внутренних и тестовых поддоменов, панелей администрирования.
- Связь проектов между собой, если они делят один сертификат.
- Подсказка атакующим, где искать слабые места.

## Как выпускать сертификаты аккуратно

1. Один сертификат на одно публичное имя или wildcard `*.example.com`: wildcard скрывает конкретные поддомены.
2. Внутренние сервисы — на отдельном домене или без публичного сертификата.
3. Не смешивать проекты в одном сертификате.
4. За Cloudflare сертификат выпускается на его стороне, и в журнал попадают только имена, которые вы проксируете.

Приватность домена складывается из нескольких слоёв, и CT — тот, о котором забывают чаще всего. Остальные разобраны в гайде [«WHOIS-приватность домена»](https://rikidomains.at/ru/guides/whois-privatnost-domena/).

> [Открыть бота](https://t.me/riki_domains_bot?start=d8)

## FAQ

**Можно ли удалить запись из журнала Certificate Transparency?**

Нет. Журналы устроены так, что записи нельзя удалить или изменить; можно только не создавать лишние.

**Защищает ли wildcard-сертификат поддомены полностью?**

Он скрывает их имена в журнале, но сами поддомены остаются доступными в DNS, если на них есть записи.