La surface d'attaque invisible que vous ignoriez avoir

À chaque fois qu'une Certificate Authority (CA) émet un certificat TLS pour votre domaine, celui-ci devient publique. Ce n'est pas un bug. C'est le fonctionnement normal de la Certificate Transparency (CT).

Mais voici ce qui empêche les équipes sécurité de dormir : n'importe qui peut demander un certificat pour votre domaine. Et si une CA compromise ou malveillante le fait, vous ne le saurez peut-être jamais. Jusqu'à ce qu'il soit trop tard.

Ce que la recherche dans les logs CT révèle vraiment

Quand vous fouillez les logs CT, vous ne regardez pas seulement vos propres certificats. Vous voyez tout.

Le DNS SAN (correspondance exacte) repère les certificats avec un hostname identique, y compris les wildcards littéraux comme *.mondomaine.com. C'est votre vérification de base : est-ce qu'on a vraiment demandé ce certificat ?

La couverture DNS host détecte les certificats qui couvrent votre domaine directement, incluant les domaines parents wildcard. Pratique pour vérifier si quelqu'un a obtenu un certificat wildcard qu'il n'aurait jamais dû avoir.

Les hôtes et sous-domaines DNS creuse plus profond. Vous voyez les certificats émis pour les noms sous votre hôte. Si quelqu'un acquiert silencieusement des certificats pour api.mondomaine.com, staging.mondomaine.com ou d'autres sous-domaines, vous le repérerez ici.

La vitesse compte : les nouveaux certificats apparaissent en minutes

Les certificats TLS publiquement reconnus apparaissent dans les logs CT en moins de 10 minutes après leur émission. Pas de traitement par lots nocturne. C'est du quasi temps réel.

Pour la surveillance sécurité, cette rapidité est cruciale. Un acteur malveillant qui tente d'obtenir un certificat pour du phishing ou des attaques man-in-the-middle dispose d'une fenêtre étroite avant que la détection soit possible.

C'est pourquoi la surveillance continue bat les vérifications périodiques. Votre domaine pourrait être enregistré aujourd'hui avec un certificat émis demain. Un audit hebdomadaire passerait à côté.

Pre-certificates vs certificats finaux : pourquoi la déduplication compte

Les logs CT ne stockent pas que des certificats finaux. Ils contiennent aussi des pre-certificates. Un pre-certificate est un artefact temporaire que certaines CA soumettent avant d'émettre le vrai certificat.

Le même certificat logique peut donc apparaître deux fois dans les logs CT, avec des représentations binaires différentes.

Les outils modernes gèrent ça en dédupliquant les résultats via une technique maligne : comparer le hash SHA-256 du TBS-no-CT combiné au hash SHA-256 de l'Issuer SPKI. Le "TBS-no-CT" désigne les données à signer du certificat après suppression des extensions Certificate Transparency. Ça permet d'apparier pre-certificates et certificats finaux, pour un résultat propre par vrai certificat au lieu de doublons confus.

Applications concrètes pour développeurs et équipes sécurité

Pour les développeurs : intégrez la surveillance CT dans vos scripts d'infrastructure. Quand vous déployez de nouveaux environnements, vérifiez automatiquement que seuls vos certificats attendus apparaissent dans les logs CT pour ces domaines.

Pour les équipes sécurité : les logs CT sont une mine pour le threat intelligence. Les campagnes de phishing utilisent souvent des certificats qui semblent légitimes. Surveiller les logs CT pour du typosquatting (comme examp1e.com au lieu de example.com) peut révéler des tentatives d'usurpation de marque.

Pour les startups : si vous évoluez dans un espace compétitif, la surveillance CT peut vous alerter sur des émissions de certificats suspectes qui pourraient indiquer du ciblage ou de la reconnaissance.

Au-delà de la surveillance : la gestion du cycle de vie des certificats

La recherche CT n'est qu'une pièce du puzzle d'une stratégie de gestion certificats robuste. Une fois que vous savez quels certificats existent pour vos domaines, il faut suivre leurs dates d'expiration, les fenêtres de renouvellement, et assurer une bonne gestion des clés.

Les échecs d'expiration de certificats provoquent de véritables pannes en production. Et ça arrive plus souvent que personne ne veut l'admettre.

Des plateformes modernes comme CertObserver agrègent les données CT, suivent les risques de renouvellement, et alertent avant l'expiration. Ça transforme la Certificate Transparency d'un log passif en contrôle sécurité actif.

Le mot de la fin

La Certificate Transparency vous donne une visibilité sur l'émission de certificats qu'il était autrefois impossible d'obtenir. Que vous soyez développeur solo avec quelques projets ou équipe sécurité d'entreprise protégeant des milliers de domaines, la surveillance CT doit faire partie de votre boîte à outils sécurité.

La bonne nouvelle ? Les données sont publiques, les recherches sont rapides, et les outils s'améliorent rapidement. Plus d'excuse pour piloter à l'aveugle sur les émissions de certificats.

Commencez à surveiller votre empreinte certificats dès aujourd'hui. Votre futur vous remerciera quand vous ne serez pas en train de déboguer pourquoi vos utilisateurs ne peuvent pas se connecter à cause d'un certificat expiré que personne n'avait repéré.

Chez NameOcean, on aide les développeurs et startups à sécuriser leur infrastructure avec une gestion SSL intégrée et des outils de sécurité domain. Parce que savoir ce qui se passe avec vos certificats ne devrait pas nécessiter un doctorat en sécurité.