La surveillance des journaux de certificats
Comment les certificats émis pour vos domaines sont lus entre les audits, ce qui en rend un inhabituel, et que faire quand vous recevez une alerte.
Chaque certificat émis pour votre domaine et ses sous-domaines est public : les autorités de certification l’inscrivent dans les journaux de transparence des certificats (Certificate Transparency). Perimetry Cloud lit ces journaux pour chaque domaine prouvé, entre les audits, et vous prévient quand un certificat est inhabituel. C’est souvent le premier signe qu’un sous-domaine a été détourné, ou qu’une page d’hameçonnage porte votre nom.
À quel rythme les journaux sont lus
- jusqu’à chaque heure avec les offres Agency ;
- toutes les 6 heures avec Solo ;
- une fois par jour avec Free.
La carte Certificats émis pour ce domaine, sur la page du domaine, indique la dernière lecture des journaux. S’ils n’ont pas répondu, elle le dit, et ils sont relus bientôt.
La première lecture
La première lecture sert de référence : les certificats déjà présents sont enregistrés sans alerte. Ensuite, seuls les nouveaux certificats sont examinés. Un certificat émis plus de 14 jours avant que nous le voyions rejoint lui aussi la référence sans bruit.
Ce qui rend un certificat inhabituel
Un nouveau certificat est signalé, avec la raison, quand :
- non autorisé par CAA : il vient d’une autorité que vos enregistrements CAA n’autorisent pas (pour un certificat joker, ce sont les enregistrements
issuewildqui comptent) ; - nouvelle autorité : il vient d’une autorité qui n’avait jamais émis de certificat pour ce domaine, et que vos enregistrements CAA n’autorisent pas explicitement ;
- nouveau nom : il nomme un hôte jamais vu, ni dans un certificat précédent ni parmi les hôtes du dernier audit.
Les renouvellements ordinaires restent silencieux.
L’alerte
Quand des certificats inhabituels sont lus, une alerte part vers chaque canal actif du domaine dans la page Alertes (et de son client, avec les offres Agency), quelle que soit sa règle, sans attendre le prochain audit. Les certificats apparaissent aussi dans la page Changements.
Examiner un certificat
La carte liste les certificats vus, les inhabituels d’abord, avec leurs noms, l’autorité, les dates d’émission et d’expiration, et si une alerte a été envoyée. Affichez Inhabituels ou Tous.
Quand un certificat inhabituel est légitime (vous, ou votre hébergeur, l’avez demandé), appuyez sur Attendu : la carte note qui l’a marqué et quand. Non examiné annule ce marquage. Les lecteurs ne peuvent pas marquer les certificats.
Si un certificat n’est pas le vôtre
Demandez sa révocation à l’autorité qui l’a émis. Vérifiez vos enregistrements DNS et qui a accès à vos comptes chez l’hébergeur et le bureau d’enregistrement. Ajoutez ensuite un enregistrement CAA qui ne cite que les autorités que vous utilisez : le générateur d’enregistrements DNS en construit un, et le constat CAA de votre rapport en donne un prêt à copier.