Transparencia de certificados y vigilancia de dominios

La transparencia de certificados (RFC 6962 y su versión 2, RFC 9162) es un sistema de registros públicos y de solo añadir: las autoridades públicas anotan en ellos cada certificado que emiten. Cualquiera puede buscar un nombre y ver qué certificados existen para él, con su emisor y su fecha. No impide que se emita un certificado; hace que no se pueda emitir en secreto.

Para el dueño de un dominio, esto cambia el orden de las cosas: ya no depende de que el emisor le avise, y puede vigilar el registro y comparar lo que aparece con su inventario.

La tabla autorizacion dice qué emisor usa la empresa para sus certificados públicos. Cuando el registro muestra un nombre bajo su dominio emitido por otro emisor, hay tres explicaciones posibles: alguien de la empresa o un contratista lo pidió por su cuenta, hubo una emisión que no debió ocurrir, o el inventario está incompleto. Ninguna se descarta mirando solo el registro; la entrada es una pista para preguntar, no una prueba de ataque.

Compara la tabla registro_ct con el emisor autorizado, y mira la tabla dns para ver qué se sabe del nombre.

Vigilar un dominio no es solo vigilar los nombres propios. Quien quiere engañar a los clientes de una empresa registra un dominio parecido, obtiene un certificado para que aparezca el candado y monta una página que imita la original. En el registro, esos certificados aparecen con un nombre que contiene la marca pero no está bajo tu dominio.

Revisa la columna nombre_en_certificado de la tabla registro_ct y la nota de la tabla dns.

La cifra que resume la vigilancia es la distancia entre el registro y el inventario: cuántos certificados existen que la empresa no conoce. No todos serán un problema, pero cada uno exige una respuesta: de quién es, para qué se emitió y si debe seguir existiendo.

Usa la columna en_inventario de la tabla registro_ct y cuenta los que la empresa no conoce.

El registro CAA del DNS (RFC 8659) permite al dueño de un dominio declarar qué autoridades pueden emitir certificados para él; las autoridades públicas deben consultarlo antes de emitir. Es una barrera útil, pero la controla quien edita el DNS: si una cuenta compartida con un tercero puede cambiar registros, también puede cambiar el CAA. Por eso la medida completa tiene tres partes y no una sola.