Прозрачность сертификатов (Certificate Transparency)
Публичные журналы только для добавления, куда попадают все выпущенные TLS-сертификаты, — владельцы доменов могут заметить ошибочно выданный сертификат. Появились после взлома DigiNotar в 2011 году, RFC 6962 (2013); Chrome требует CT-журналирования с 2018 года.
CT-журналы ведут Google, Cloudflare, Let's Encrypt и другие. Центр сертификации получает Signed Certificate Timestamp (SCT) как доказательство записи в журнал; он встраивается в сертификат или передаётся через OCSP. Инструменты: crt.sh — поисковик по всем журналам, полезный для разведки (какие поддомены существуют?). Для мониторинга своих доменов есть Facebook CT Monitor и Cert Spotter — они сообщают о новом сертификате на ваш домен. Wildcard-сертификаты там тоже видны. Сертификат без записи в CT-журнал Chrome не примет.