सर्टिफ़िकेट ट्रांसपेरेंसी लुकअप

Certificate Transparency क्या है और इसके लॉग किसी डोमेन के बारे में क्या बताते हैं?

Certificate Transparency (RFC 6962, RFC 9162) सार्वजनिक, append-only लॉग का समूह है जिसमें सर्टिफ़िकेट अथॉरिटी सार्वजनिक वेब के लिए जारी किए गए TLS सर्टिफ़िकेट दर्ज करती हैं; Chrome और Safari इसे ज़रूरी मानते हैं और बिना दर्ज सर्टिफ़िकेट ठुकरा देते हैं। किसी डोमेन के लिए इन लॉग का इंडेक्स खोजने पर उसके दर्ज सर्टिफ़िकेट — जारीकर्ता, तारीख़ें और नाम — दिखते हैं, जिससे गलत जारी सर्टिफ़िकेट पकड़े जाते हैं और दर्ज सर्टिफ़िकेट पर लिखा हर सबडोमेन सार्वजनिक भी हो जाता है। जो सर्टिफ़िकेट कभी दर्ज ही नहीं हुआ, या अभी इंडेक्स में नहीं आया, वह नहीं दिखेगा।

सुरक्षा नोट: सार्वजनिक सर्टिफ़िकेट पर लिखे होस्ट नाम छिपाए नहीं जा सकते: एडमिन पैनल या स्टेजिंग साइट छिपाने के लिए किसी अनजान सबडोमेन नाम पर भरोसा न करें।

सर्टिफ़िकेट ट्रांसपेरेंसी लुकअप कैसे इस्तेमाल करें

1. डोमेन डालें (example.com); URL या आगे लगा *. डोमेन में बदल दिया जाता है।
2. डोमेन के नीचे का हर नाम देखने के लिए "सबडोमेन शामिल करें" चालू रखें, कितने सर्टिफ़िकेट दिखाने हैं चुनें, और "CT लॉग खोजें" दबाएँ।
3. पहले जारीकर्ता वाली टेबल पढ़ें: हर जारीकर्ता ऐसी CA होनी चाहिए जिसे आप या आपका होस्टिंग प्रोवाइडर सच में इस्तेमाल करते हैं।
4. नामों में ऐसे होस्ट देखें जिन्हें आप नहीं पहचानते, और सर्टिफ़िकेट में ऐसे नए जिन्हें किसी ने नहीं माँगा।

सर्टिफ़िकेट ट्रांसपेरेंसी लुकअप की खूबियाँ

• किसी डोमेन — और चाहें तो उसके नीचे के हर नाम — के लिए दर्ज सर्टिफ़िकेट सार्वजनिक Certificate Transparency लॉग के इंडेक्स में खोजता है, सबसे नए पहले
• हर सर्टिफ़िकेट की वैधता की तारीख़ें, जारीकर्ता, कवर किए नाम और — स्रोत दे तो — SHA-256 फ़िंगरप्रिंट दिखाता है
• नतीजों को जारीकर्ता के हिसाब से समूह में रखता है, ताकि ऐसी CA तुरंत दिखे जिसे आप इस्तेमाल नहीं करते
• सर्टिफ़िकेट में आए हर अलग होस्ट नाम की सूची देता है — यानी वे सबडोमेन जो लॉग सार्वजनिक कर देते हैं — wildcard नामों समेत
• हर सर्टिफ़िकेट को खोज के समय की तारीख़ के हिसाब से "मौजूदा", "एक्सपायर्ड", "अभी शुरू नहीं" या "रद्द" बताता है (रद्द सिर्फ़ तब जब Cert Spotter बताए)
• Mutqan सर्वर पर key हो तो Cert Spotter, वरना crt.sh इस्तेमाल करता है, और बताता है कि किस स्रोत ने जवाब दिया और सूची कितनी पुरानी है

इनपुट और आउटपुट

इनपुट

• डोमेन — example.com जैसा डोमेन नाम; URL या आगे लगा *. डोमेन में बदल दिया जाता है। IP एड्रेस ठुकराए जाते हैं।
• सबडोमेन शामिल करें — डिफ़ॉल्ट रूप से चालू; बंद करने पर सिर्फ़ वे सर्टिफ़िकेट दिखते हैं जिनमें ख़ुद डोमेन का नाम है।
• दिखाने वाले सर्टिफ़िकेट — 25, 50 या 100, सबसे नए पहले।

आउटपुट

• सारांश — कितने सर्टिफ़िकेट दिखाए गए, कितने मौजूदा और कितने एक्सपायर्ड, अलग नाम, जारीकर्ता और जवाब देने वाला स्रोत।
• जारीकर्ता — हर सर्टिफ़िकेट अथॉरिटी, उसके सर्टिफ़िकेट की संख्या और सबसे नई जारी तारीख़ के साथ।
• सर्टिफ़िकेट — वैधता तारीख़ें, स्थिति, जारीकर्ता, शुरुआती कवर किए नाम और उपलब्ध हो तो SHA-256 फ़िंगरप्रिंट।
• सर्टिफ़िकेट में दिखे नाम, सूची का विवरण और क्या देखें — हर अलग नाम (300 तक), स्रोत, सूची पूरी है या नहीं और कितनी पुरानी है, और किस पर ग़ौर करना चाहिए।

सर्टिफ़िकेट ट्रांसपेरेंसी लुकअप का उदाहरण

example.org · Include subdomains: on · Certificates to list: 50

दिखाए गए सर्टिफ़िकेट 7 · मौजूदा 2 · एक्सपायर्ड 5 · अलग नाम 5 · जारीकर्ता 2 · स्रोत crt.sh
जारीकर्ता: R11 — 5 (सबसे नया 2026-09-02) · Sectigo RSA Domain Validation Secure Server CA — 2 (सबसे नया 2025-11-20)
2026-09-02 → 2026-12-01 · मौजूदा · R11 · example.org, www.example.org
2026-08-20 → 2026-11-18 · मौजूदा · R11 · staging.example.org
2026-06-04 → 2026-09-02 · एक्सपायर्ड · R11 · example.org, www.example.org
सर्टिफ़िकेट में दिखे नाम: example.org, mail.example.org, staging.example.org, vpn.example.org, www.example.org

सर्टिफ़िकेट ट्रांसपेरेंसी लुकअप के नतीजे कैसे पढ़ें

अनजान जारीकर्ता, या ऐसा नया सर्टिफ़िकेट जिसे आपकी टीम में किसी ने नहीं माँगा — यही दिखाने के लिए CT लॉग बने हैं: पहले अपने प्रोवाइडर से पूछें, और अगर किसी ने नहीं माँगा तो जारी करने वाली अथॉरिटी से उसे रद्द करवाएँ।

"मौजूदा" का मतलब है कि आज की तारीख़ सर्टिफ़िकेट की शुरुआत और अंत के बीच है। इससे यह पता नहीं चलता कि कोई सर्वर उसे दिखाता है या नहीं, या वह भरोसेमंद है या रद्द।

एक ही नामों के लिए कई सर्टिफ़िकेट आम तौर पर ऑटोमैटिक नवीनीकरण दिखाते हैं (ACME के साथ हर 60–90 दिन); एक साथ कई जारीकर्ता आम तौर पर CDN, होस्टिंग प्लेटफ़ॉर्म या माइग्रेशन का संकेत हैं।

"दिखाए गए से ज़्यादा मौजूद हैं" का मतलब है कि सूची सीमा पर या खोज के अंत पर रुक गई: सीमा बढ़ाएँ या ज़्यादा ख़ास नाम खोजें।

सर्टिफ़िकेट ट्रांसपेरेंसी लुकअप कब इस्तेमाल करें

• CAA रिकॉर्ड प्रकाशित करने से पहले जाँचना कि कौन-सी CA आपके डोमेन के लिए सर्टिफ़िकेट जारी करती हैं।
• भूले हुए सबडोमेन और ऐसे होस्ट खोजना जिनके नाम उनके सर्टिफ़िकेट ने सार्वजनिक कर दिए।
• गलत जारी हुए संदिग्ध सर्टिफ़िकेट की, या आपके ब्रांड जैसे दिखने वाले डोमेन के सर्टिफ़िकेट की जाँच करना।
• पक्का करना कि पुराना सर्टिफ़िकेट समाप्त होने से पहले नवीनीकरण जारी और दर्ज हो गया।

समस्या निवारण

• "Certificate Transparency लॉग अभी खोजे नहीं जा सकते": crt.sh ने जवाब नहीं दिया (भार में अक्सर नहीं देता) और Cert Spotter सेट नहीं है या वह भी फ़ेल हुआ। कुछ मिनट रुककर फिर कोशिश करें।
• "इस डोमेन के सर्टिफ़िकेट एक जवाब की सीमा से ज़्यादा हैं": "सबडोमेन शामिल करें" बंद करें, या www.example.com जैसा ख़ास होस्ट नाम खोजें।
• कुछ मिनट पहले जारी हुआ सर्टिफ़िकेट नहीं दिख रहा: लॉग और उनके इंडेक्स को नई एंट्री दिखाने में समय लगता है, और सूचियाँ 15 मिनट से एक घंटे तक रखी जाती हैं।
• कोई सर्टिफ़िकेट नहीं: हो सकता है उस नाम का कभी सार्वजनिक रूप से भरोसेमंद सर्टिफ़िकेट न रहा हो, स्पेलिंग गलत हो, या वह सिर्फ़ प्राइवेट CA इस्तेमाल करता हो जिसके सर्टिफ़िकेट दर्ज नहीं होते।

सर्टिफ़िकेट ट्रांसपेरेंसी लुकअप के बारे में अक्सर पूछे जाने वाले सवाल

तकनीकी नोट्स

Certificate Transparency (RFC 6962; दूसरा संस्करण RFC 9162) सार्वजनिक, append-only लॉग का समूह है। सर्टिफ़िकेट अथॉरिटी सार्वजनिक वेब के लिए जारी सर्टिफ़िकेट — या जारी करने से पहले उसका precertificate — इनमें दर्ज करती हैं; Chrome और Safari इसे ज़रूरी मानते हैं और दर्ज होने के सबूत के बिना सर्टिफ़िकेट ठुकराते हैं, हालाँकि हर TLS क्लाइंट यह जाँच नहीं करता। खोज वही सर्टिफ़िकेट दिखाती है जो इंडेक्स में दर्ज हैं — जो सर्टिफ़िकेट कभी दर्ज नहीं हुआ, या अभी इंडेक्स में नहीं आया, वह नहीं दिखेगा।

दो स्रोत इस्तेमाल होते हैं। Mutqan सर्वर पर API key सेट हो तो Cert Spotter (SSLMate) से सीमा तक पेज-दर-पेज पूछा जाता है और जवाब 15 मिनट रखा जाता है; वरना — या उसके फ़ेल होने पर — crt.sh (जिसे Sectigo चलाता है) से पूछा जाता है और जवाब एक घंटा रखा जाता है। crt.sh बिना गारंटी वाली सार्वजनिक सेवा है जो अक्सर धीमी रहती है; दोनों में से कोई जवाब न दे तो टूल यही बताता है।

स्थिति आपके ब्राउज़र में हर सर्टिफ़िकेट की notBefore और notAfter तारीख़ों से खोज के समय निकाली जाती है। "रद्द" सिर्फ़ तब दिखता है जब Cert Spotter बताए — यहाँ crt.sh की सूची में रद्द होने का डेटा नहीं होता — और किसी सर्टिफ़िकेट का सिग्नेचर या भरोसा नहीं जाँचा जाता।

"सबडोमेन शामिल करें" के साथ खोज में डोमेन और उसके नीचे का हर नाम आता है, wildcard एंट्री समेत। बहुत ज़्यादा सर्टिफ़िकेट वाले डोमेन के नतीजे स्रोत के एक जवाब की सीमा पार कर सकते हैं (crt.sh में पेजिंग नहीं है); तब टूल अधूरी सूची को पूरी बताने के बजाय सीमित खोज करने को कहता है।

सीमाएँ और कार्यप्रणाली

स्रोत लॉग का थर्ड-पार्टी इंडेक्स है, ख़ुद लॉग नहीं; ख़ास तौर पर crt.sh बिना गारंटी के चलता है और धीमा, अधूरा या बंद हो सकता है। सूचियाँ Mutqan सर्वर पर 15 मिनट (Cert Spotter) या एक घंटा (crt.sh) रखी जाती हैं।

सिर्फ़ वही सर्टिफ़िकेट दिख सकते हैं जिन्हें उनकी अथॉरिटी ने दर्ज किया। प्राइवेट या अंदरूनी CA के सर्टिफ़िकेट, self-signed सर्टिफ़िकेट और सार्वजनिक वेब PKI के बाहर के दूसरे सर्टिफ़िकेट दर्ज नहीं होते, इसलिए यहाँ नहीं दिखते।

हर खोज में ज़्यादा से ज़्यादा 100 सर्टिफ़िकेट, सबसे नए पहले, दिखाए जाते हैं; पुराने इतिहास के लिए सीमित खोज या स्रोत की अपनी वेबसाइट चाहिए।

सुरक्षा और गोपनीयता

डोमेन Mutqan सर्वर को भेजा जाता है, जो उसे Cert Spotter या crt.sh को देता है; सूची के थोड़े समय के cache के अलावा कुछ सेव नहीं होता। जो कुछ दिखता है वह सार्वजनिक डेटा है जिसे कोई भी खोज सकता है।

संदर्भ

• RFC 6962: Certificate TransparencyIETF · 2013मूल Certificate Transparency प्रोटोकॉल: सार्वजनिक, append-only Merkle-tree लॉग, signed certificate timestamps और precertificates — वही संस्करण जिसे आज ब्राउज़र लागू करते हैं।
• RFC 9162: Certificate Transparency Version 2.0IETF · 2021प्रोटोकॉल का दूसरा संस्करण, जो लॉग की डेटा संरचनाएँ और क्लाइंट द्वारा सर्टिफ़िकेट दर्ज होने की जाँच का तरीक़ा सुधारता है।
• How Certificate Transparency WorksCertificate Transparency project (Google)सर्टिफ़िकेट अथॉरिटी, लॉग, मॉनिटर और ब्राउज़र आपस में कैसे जुड़ते हैं, और डोमेन मालिक गलत जारी सर्टिफ़िकेट पकड़ने के लिए मॉनिटर कैसे इस्तेमाल करते हैं।