Certificate Transparency
Publika append-only-loggar över alla utfärdade TLS-certifikat. Möjliggör att domänägare kan upptäcka misutfärdade cert mot sin domän. Lanserad efter DigiNotar-incidenten 2011, RFC 6962 (2013). Chrome kräver CT-loggning sedan 2018.
CT-logs drivs av Google, Cloudflare, Let's Encrypt m.fl. CA:n får Signed Certificate Timestamp (SCT) som bevis på loggning, embedded i cert eller via OCSP. Verktyg: crt.sh sökmotor över alla loggar — användbart för rekon (vilka subdomäner finns?). Domain-monitoring: services som Facebook CT Monitor, Cert Spotter notifierar vid nytt cert för din domän. Wildcard-cert syns också. Misslyckad CT-loggning blockerar nya cert i Chrome.