Vérificateur de journaux Certificate Transparency

• Recherche dans les journaux Certificate Transparency : interrogez crt.sh, la base de données de journaux CT de référence du secteur, pour trouver tous les certificats TLS émis pour un domaine. Consultez chaque certificat enregistré par les journaux CT publics avec métadonnées complètes et détails d'empreinte.
• Métadonnées détaillées des certificats : pour chaque certificat, consultez l'empreinte SHA-256, le numéro de série, l'émetteur (autorité de certification), les noms alternatifs du sujet (SAN) et le journal CT exact qui l'a enregistré, avec son horodatage.
• Suivi de validité et d'expiration : chaque fiche de certificat affiche sa période de validité (not before / not after) avec un badge de statut coloré - Actif (vert), Expiré (rouge) ou Pas encore valide (ambre). Identifiez rapidement les certificats expirés à renouveler.
• Agrégation des émetteurs et des journaux : consultez un récapitulatif de toutes les autorités de certification ayant émis des certificats pour le domaine, ainsi que des journaux CT utilisés pour les enregistrer. Comprenez votre paysage de certificats d'un coup d'œil grâce aux répartitions par émetteur et par nombre de journaux.

• Inventaire des certificats TLS : maintenez un inventaire complet de tous les certificats TLS émis pour vos domaines. Les journaux CT constituent le seul registre faisant autorité de chaque certificat, y compris ceux émis par erreur ou à votre insu.
• Détection de certificats non autorisés : détectez les certificats émis pour votre domaine par des autorités de certification inconnues ou non autorisées. Certificate Transparency permet de repérer des certificats frauduleux pouvant servir à des attaques de l'intermédiaire.
• Audit des certificats expirés : identifiez dans les journaux CT les certificats expirés qui pourraient encore être utilisés ou mis en cache par les clients. Un certificat expiré peut provoquer des interruptions de service et des avertissements de sécurité pour vos utilisateurs.
• Surveillance de la sécurité des domaines : surveillez régulièrement les journaux CT pour détecter les nouveaux certificats émis pour votre domaine, dans le cadre de votre pipeline de surveillance de sécurité. Repérez les émissions erronées, les certificats de test ou les approvisionnements non autorisés.
• Évaluation des autorités de certification : examinez quelles autorités de certification ont émis des certificats pour votre domaine ou celui de vos concurrents. Comprenez le paysage des AC et décidez en connaissance de cause à qui faire confiance pour vos certificats.
• Vérifications avant changement : avant de changer d'autorité de certification ou de type de certificat, consultez les journaux CT pour comprendre votre profil de certificats actuel - notamment tous les certificats actifs, leurs émetteurs et leurs noms alternatifs du sujet.

Certificate Transparency (CT) est un système ouvert d'audit et de surveillance conçu pour protéger l'écosystème des certificats TLS/SSL. Lorsqu'une autorité de certification (AC) émet un certificat pour un domaine, elle doit le soumettre à un ou plusieurs journaux CT publics. Ces journaux sont en ajout seul et vérifiables cryptographiquement, créant un registre public et permanent de chaque certificat TLS émis. La CT est obligatoire pour tous les certificats TLS publiquement approuvés depuis avril 2018 (imposée par Chrome et d'autres navigateurs majeurs).

1. Saisissez un domaine : tapez un nom de domaine (par ex. google.com) et cliquez sur « Vérifier les journaux CT ». Votre navigateur interroge l'API crt.sh, une base de données gratuite et publique qui agrège les certificats de tous les principaux journaux CT mondiaux.
2. Découverte des certificats : crt.sh renvoie tous les certificats où le domaine apparaît dans le Common Name (CN) ou les Subject Alternative Names (SAN). Les résultats sont dédupliqués par empreinte SHA-256 et triés par horodatage d'entrée.
3. Métadonnées et analyse : chaque certificat est affiché avec son émetteur (AC), sa période de validité, son empreinte, son numéro de série, ses SAN et le journal CT précis qui l'a enregistré. Des sections de synthèse présentent la répartition des émetteurs et les statistiques d'utilisation des journaux pour le domaine.

• Empreinte SHA-256 : un hachage cryptographique du certificat. Chaque certificat possède une empreinte unique, utilisée pour l'identifier et dédupliquer les entrées.
• Émetteur (AC) : l'autorité de certification qui a émis le certificat (par ex. Let's Encrypt, Google Trust Services, DigiCert).
• Subject Alternative Names (SAN) : tous les noms de domaine pour lesquels le certificat est valide. Les certificats modernes peuvent couvrir plusieurs domaines (par ex. example.com et www.example.com).
• Horodatage d'entrée : le moment où le certificat a été ajouté au journal CT - généralement peu après son émission.
• Nom du journal CT : le journal CT spécifique qui a enregistré ce certificat (par ex. Google Xenon, Let's Encrypt Oak). Les navigateurs exigent qu'un certificat apparaisse dans au moins deux journaux approuvés.

Notre vérificateur de journaux Certificate Transparency interroge l'API publique crt.sh directement depuis votre navigateur. Nous ne stockons, journalisons ni traitons aucune recherche de domaine sur nos serveurs. crt.sh est un service gratuit et public maintenu par la communauté. L'outil est 100 % gratuit, sans inscription, sans compte et sans limite d'utilisation - tout le traitement se fait côté client dans votre navigateur.