Certificate-Transparency- und Subdomain-Takeover-Monitoring.
Relvato überwacht die öffentlichen Zertifikatslogs auf Zertifikate, die im Namen Ihrer Domain von einer Stelle ausgestellt wurden, die Sie nicht nutzen, sucht Subdomains, die auf nicht mehr vorhandene Dienste zeigen, und prüft, ob Ihre CAA-Einträge die nächste Zertifikatsverlängerung erlauben.
- ✓Kein neues Zertifikat von einer unbekannten Stelle
- ✓Keine Subdomain zeigt auf eine nicht mehr vorhandene Ressource
- ✓CAA erlaubt Ihrer Zertifizierungsstelle die Verlängerung
Jedes ausgestellte Zertifikat wird in den Certificate-Transparency-Logs veröffentlicht — ein Zertifikat, das Sie nicht beantragt haben, ist daher oft das erste Zeichen, dass jemand eine Ihrer Subdomains oder Ihr DNS kontrolliert. Der übliche Weg hinein ist ein vergessener Eintrag: shop-alt, der auf eine gelöschte Heroku-App oder einen gelöschten S3-Bucket zeigt, den jetzt jeder übernehmen und unter Ihrem Namen Seiten ausliefern kann.
- Liest die Certificate-Transparency-Logs (über crt.sh) und meldet neue Zertifikate von einer Stelle, die Ihre Domain bisher nicht genutzt hat — Verlängerungen Ihrer üblichen Stellen, auch der mehreren, zwischen denen ein CDN wechselt, bleiben still.
- Nimmt die Subdomains aus diesen Logs, folgt jeweils dem CNAME und meldet solche, die auf etwas nicht mehr Vorhandenes zeigen oder auf die „Hier ist nichts“-Seite eines bekannten Dienstes.
- Vergleicht Ihre CAA-Einträge mit der Stelle, die Ihr aktuelles Zertifikat ausgestellt hat, damit eine CAA-Änderung, die die nächste Verlängerung blockieren würde, vor dem Verlängerungstag auffällt.
Woher kennt es meine Subdomains?
Aus den Certificate-Transparency-Logs — dort steht jede Subdomain, die je ein öffentliches Zertifikat hatte — plus der Adresse Ihrer eigenen Website.
Was, wenn die Zertifikatslogs nicht erreichbar sind?
crt.sh, die öffentliche Log-Suche, ist oft langsam oder nicht verfügbar. Der Check sagt das dann und prüft weiter CAA und die Adresse Ihrer Website, statt fehlzuschlagen.
Greift es meine Subdomains an?
Es löst ihr DNS auf und lädt nur bei bekannten übernahmegefährdeten Diensten einmal die Startseite, um deren „Hier ist nichts“-Seite zu erkennen. Nichts Angriffsähnliches wird gesendet.
Schalte diese Prüfung auf Autopilot.
Für immer kostenlos auf einer Website — alle Checks, 100 Läufe im Monat. Keine Karte, kein Verkaufsgespräch.