概述
证书透明日志记录了所有公开信任的证书签发。通过监控自己域名在 CT 中的条目，可在攻击者或失范 CA 误发证书后的第一时间发现并处置，把风险从“事后才知”变为“即时可察”。
关键步骤
- 在 CT 监控服务中登记你的域名。
- 把告警发送到真正有人关注的渠道。
- 将每条发现与已知签发及 CA 基线比对。
- 对未知证书启动吊销与事件响应。
验证
- 新出现在日志的条目会触发通知。
- 已知续期与通配符签发被正确归为基线。
- 未知证书可被识别并进入处置流程。
- 告警渠道有人响应。
注意事项
- CT 监控只能检测、不能阻止错误签发，且完整性依赖日志。
- 私有或内部证书通常不入日志，覆盖仅限公开信任的签发。
适用范围
本条目围绕「监控证书透明日志」给出可复制的步骤、验证方式与常见问题，适合需要按此流程落地的工程团队。执行时请结合自身上下文调整命令与阈值，并在变更前后留存证据，便于后续复核与回滚。
curl -s "https://crt.sh/?q=%25.example.com&output=json" \
| jq -r '.[] | [.issuer_name, .name_value] | @tsv' \
| sort -u