CT-Log Watch

Fragt die Certificate-Transparency-Logs (crt.sh) für eine Domain samt Subdomains/Wildcards ab und listet die aktuell geloggten Zertifikate. Als Monitor eingerichtet, seedet der erste Lauf eine Baseline und Folge-Läufe alarmieren bei neu ausgestellten Zertifikaten — optional nur bei Ausstellern außerhalb der CAA-Freigabe.

Einmal-Check ohne Konto — Ergebnis nur über diesen Link, begrenzte Speicherzeit.

Für regelmäßige Checks, Alerts bei Ausfall und eine eigene Status-Page brauchst du ein kostenloses Konto.

Monitoring starten →Status-Page Demo

Warum das zählt

Jedes öffentlich vertrauenswürdige Zertifikat landet in den Certificate-Transparency-Logs. Taucht dort ein Zertifikat für deine Domain auf, das du nicht ausgestellt hast, ist das ein starkes Frühwarnsignal für eine Fehlausstellung oder Kompromittierung.

total_certs — Certs im Betrachtungsfenster
new_certs — neu gegenüber der Monitor-Baseline
caa.violations — Aussteller außerhalb CAA/allowedIssuers
degraded — crt.sh transient nicht erreichbar (kein Alarm)

Einmal-Läufe scannen nur (kein Diff). Die Baseline und Neu-Erkennung entstehen erst als Monitor.