¿Qué es Certificate Transparency?
Todo certificado TLS de confianza pública emitido desde 2018 debe quedar registrado en un registro público e inalterable antes de que los navegadores lo acepten. Ese registro es consultable, y a menudo revela más de un dominio de lo que su propietario pretendía.
Qué son los registros CT
Los registros de Certificate Transparency (CT) son registros de solo adición, verificables criptográficamente, gestionados por varios operadores independientes (Google, DigiCert, Sectigo y otros). Cuando una autoridad de certificación emite un certificado de confianza pública, lo envía a uno o más de estos registros y recibe un Signed Certificate Timestamp (SCT) que prueba ese envío. Chrome y otros navegadores principales rechazan confiar en un certificado que no lleve un SCT válido.
Por qué existen los registros CT
Antes de CT, una autoridad de certificación comprometida o descuidada podía emitir un certificado para tu dominio sin que lo supieras jamás — la primera señal de problemas podía ser un sitio de phishing con un certificado perfectamente válido y de confianza para el navegador. CT hace que cada emisión sea pública y permanente, de modo que el propietario de un dominio (o alguien que lo monitorice en su nombre) pueda buscar en los registros y detectar certificados no autorizados.
Qué revela una búsqueda en CT
Buscar un dominio en los registros CT devuelve todos los subdominios a los que se les haya emitido alguna vez un certificado de confianza pública — incluidos certificados comodín, certificados de corta duración de emisores automatizados como Let's Encrypt, y subdominios pensados solo como temporales. Esto convierte la búsqueda en CT en una de las formas más fiables de descubrir la huella real de subdominios de un dominio, ya que no depende de que el dominio esté dispuesto a responder consultas DNS sobre ello.
La contrapartida: permanente y público
Los registros CT no se pueden editar ni eliminar después — esa inmutabilidad es precisamente su razón de ser. Esto significa que un certificado emitido para staging-internal.example.com o admin-panel.example.com sigue siendo públicamente localizable para siempre, aunque el subdominio se elimine después. Trata los registros CT como un hecho consumado: nunca asumas que un nombre de host es privado solo porque su DNS no sea públicamente enumerable — si alguna vez tuvo un certificado TLS público, está en el registro.
Busca en los registros de Certificate Transparency
Ve la teoría en la práctica: ejecuta Búsqueda en Certificate Transparency para tu propio dominio.