Сертификаты в журналах — почему имя остаётся в открытом доступе, даже если его нет в DNS

Наткнулся на разбор о том, как публичные журналы сертификатов могут выдать скрытые сервисы — и понял, что это не теория, а реальный риск для любого сайта, даже если он не в интернете.

О чём речь и почему я считаю это важным

Речь о том, что сертификаты, выпущенные на домены, попадают в открытые журналы — и остаются там навсегда. Даже если домен не в DNS, а сервис уже не работает, имя всё равно видно. Это не просто техническая деталь — это уязвимость в понимании безопасности.

Я считаю это важным потому, что владелец сайта часто думает: «если не в публичном DNS, то не видно». А на деле — видно всем. И не только видно, но и анализируется. Это и есть уязвимость, которую можно использовать.

Как это устроено — что тут вообще происходит

Когда вы выпускаете TLS-сертификат на домен, он автоматически попадает в публичные журналы — Certificate Transparency. Это система, придуманная, чтобы не допустить, чтобы кто-то выпустил сертификат на ваш сайт без вашего ведома.

Но в реальности журналы работают по принципу «всё, что было — останется». Удалить запись нельзя. И если вы случайно выпустили сертификат на jenkins.example.com, даже если хост выключили — имя останется в журнале навсегда.

Как понять, что это касается вашего сайта

Я проверяю это первым делом: запускаю запрос к API, который показывает все выпущенные сертификаты на ваш домен. Вывод — список имён, которые когда-либо были защищены.

Если в списке есть jenkins, grafana, staging, backup-old — значит, сервисы, которые не должны быть в открытом доступе, уже выдали себя. И это не ошибка, а следствие автоматизации: ACME-клиенты выпускают сертификаты без контроля.

Что с этим делать

Во-первых, разделяю найденные имена: то, что должно быть открытым; то, что должно быть закрытым, но оказалось публичным; и то, что вообще пора выключить.

Для внутренних сервисов — перехожу на внутренний УЦ. Сертификаты от него не попадают в журналы. Для публичных — использую wildcard-сертификаты, чтобы не выдавать список имён. И проверяю, кто ещё может получить доступ к таким системам.

Что здесь даёт поддержка

На постоянной поддержке я закрываю эту задачу так: веду учёт всех доменов и сервисов, проверяю журналы раз в неделю, а при появлении подозрительных имён — сразу блокирую доступ и выясняю, откуда они взялись.

Просроченный сертификат или домен — это не авария, а предсказуемый и полностью предотвратимый сбой. Мы мониторинг каждые несколько минут, 24/7.

Если вы хотите проверить, не выдали ли вы случайно доступ к скрытым сервисам — приглашаю на бесплатный аудит сайта.