Фейковые сертификаты для Google — что это значит для вашего сайта

Прочитал у xakep, что злоумышленники получили фейковые TLS-сертификаты для Google и других сервисов через атаку на национальные доменные зоны .gh, .sl и .as. Атака позволила обходить проверку владения доменом — хакеры меняли DNS-записи и получали действительные сертификаты для чужих сайтов, включая крупные бренды. Сертификаты были заблокированы в Chrome, но не во всех браузерах, и отозвать их официально — долгий процесс. Важно: это не уязвимость самого сайта, а слабое место в процедуре выпуска сертификатов, которое может повториться в любой момент.

Считаю, что это не просто «кейс», а сигнал: если у вас есть домен в любой национальной зоне, особенно с открытым DNS, риск утечки контроля над сертификатом реален. Даже если ваш сайт не пострадал — браузеры не проверяют, кто владеет доменом, а только, есть ли у него сертификат. И если он есть, но не ваш — вы уже не тот сайт, который видит пользователь.

На мой взгляд, главная угроза — не в том, что кто-то взломал сервер, а в том, что кто-то может выдать себе сертификат для вашего домена, не имея доступа к нему. Это не фишинг, это прямое нарушение доверия к HTTPS. И это может случиться с любым, кто не защищает DNS-записи и не настроил CAA.

Уже начал проверять у клиентов: есть ли у них CAA-записи, и разрешены ли только проверенные УЦ. У тех, у кого их нет — в план на неделю добавил настройку. Не жду, пока браузер заблокирует, а закрываю причину заранее.