刚给测试系统申请SSL证书，还没挂官网链接，子域名却已经能在公开查询里找到，这不一定是网站被入侵了。面向公网浏览器使用的证书可能将域名带入证书透明度日志，外部人员通过这些记录发现名称，并不需要先打开你的网站。
公开查询给出trial这样的名称，并不意味着查询者能进入试运行系统，更不意味着他拿到了数据库内容。证书记录不能替人绕过登录。网站负责人应检查证书列出的名称是否合适、申请是否经过授权，再检查试运行入口有没有限制访问。
证书透明度记录的是签发信息
证书透明度的英文是Certificate Transparency，简称CT。它通过可公开审查的日志记录证书或预证书，使域名管理者有机会发现不知情的签发。预证书可以理解为正式证书签发流程中的一种承诺性记录，不能把它当成已经部署到网站上的证书。
如果域名属于你，却有陌生机构为它签发证书，公开记录就提供了一条追查线索。缺少这种机制时，域名持有人可能连异常申请发生过都不知道。CT的用途是让签发过程更容易受到监督，不负责判断网页内容是否真实，也不替网站执行权限检查。
CT允许向已有日志追加条目，却不允许回头删除或改写已纳入的证书内容。因此，申请证书之前就应考虑名称是否适合公开，不能等上线后再把日志当作可以清空的发布记录。
Chrome对其CT政策适用的公开信任证书设置了相应要求。网站管理者不应期待通过删除服务器上的某个字段来关闭公开记录，也不能把更换一家证书商当成隐藏域名的办法。具体浏览器政策有适用条件，企业自行管理的信任环境需要另行区分。
查询者能看到哪些内容
证书的主体备用名称字段，也就是SAN，会列出它保护的名称。假设一张证书同时包含官网和试运行系统，外部查询者可能从同一条记录中看到这两个名称。域名没有写进菜单、没有提交搜索收录，不会阻止它随证书记录公开。
查询界面还可能展示颁发者、有效期和序列号等字段。这些信息适合用来比对证书版本，却不等于服务器配置清单。看见某张证书的有效期，不能据此断定它一直在为网站提供服务；看见一个子域名，也不能据此断定相应应用已经开放。
CT日志本身不记录你的TLS私钥、用户密码、订单内容或网页响应。证书中的公钥与服务器私钥用途不同，公钥公开是证书正常使用的一部分。有人能下载公开证书，不代表他就有能力冒充服务器完成依赖私钥的身份验证。
把尚未发布的项目代号、合作方名称写进主机名，即使没有泄露业务数据，也可能让外界猜到业务方向。是否适合公开，应该在起名时判断，而不是只看域名能否正常解析。
多域名证书还可能把几个原本分散的入口放在一起展示。若公司不希望公开关联不同业务，申请时就应检查名称组合，避免把无关项目顺手加进同一张证书。拆分申请也只能减少这种直接关联，不能保证外界无法从其他信息判断关系。
网站没上线也可能先留下记录
证书申请、域名解析、应用发布是不同环节。证书机构可以在正式证书交付前提交预证书，查询服务也可以收录这类日志内容。于是，技术团队还在准备部署，外部查询中已经出现了相关名称，两者并不矛盾。
假设开发团队已经为trial.example.com办好证书，应用却还在等待上线审批。相关信息一旦进入CT，外部查询就可能提前发现这个试运行入口。这里的example.com是保留示例域名，这一情形不对应真实客户项目。
把网站设为noindex，作用于配合该指令的搜索引擎收录，不会撤回已经提交的证书记录。网站的robots.txt可以向爬虫声明抓取规则，却挡不住普通访客连接系统。即便网页没有进入搜索结果，其他人仍可能通过证书日志、公开链接或DNS相关信息发现入口。
因此，待发布系统应先做好登录、授权和网络访问限制，再决定何时开放。仅供公司员工试用的环境，可以把允许连接的网络限定在企业批准的范围。不能把“暂时没人知道这个地址”当作试运行期间的保护措施。
查到陌生证书先比对申请来源
面对一条不认识的记录，先保留查询结果中的证书标识、名称和时间，再向负责网站、云服务和自动续期的人核对。不要只凭颁发机构的显示名称做结论，证书销售服务商的品牌与实际签发机构名称可能不同。
第一步，确认记录保护的名称确实属于你管理的域名。逐项看SAN，而不是只扫标题。有些查询结果是模糊匹配，出现相似字符串并不代表你的完整域名就在证书里。
第二步，登录采购后台和相关云控制台，寻找与日志条目对应的签发任务。CDN托管证书、自动续期、补充域名后的重新签发，都可能产生团队成员不熟悉的新记录。请维护人员指出具体订单或任务编号，并说明该证书供哪个入口使用。
第三步，通过浏览器打开对应入口，把证书详情中的序列号、颁发者与查询结果逐项比较。浏览器取得的证书可能是另一版本。相同域名出现多条记录，可以是正常更新；但暂时没在网站上发现那张陌生证书，也不足以证明签发没有问题。
如果内部无法确认来源，应带着证书序列号、颁发者和涉及域名联系签发机构调查，并检查域名验证、DNS管理权限及相关账号。查明属于误签的证书后，向签发机构申请吊销并跟进处置结果。CT发现的是异常线索，结论还需要申请记录和权限检查支撑。
通配符能减少逐个列名但不能承诺隐藏
只包含*.example.com这一通配符名称的证书，不会因为存在这个星号，就把企业实际使用的每个子域名自动写进该条证书记录。相比逐项列出多个业务名称，它在记录中呈现的信息有所不同。
这种差别不等于通配符证书具有“隐藏子域名”的功能。某个业务早年若申请过独立证书，其名称不会因为后来改用星号而从CT里抹去。DNS信息、邮件配置或公开页面中的链接，也可能让这个名称被发现。
证书选型首先要满足名称覆盖和密钥管理需求。为了少公开几个名称而把很多系统集中使用同一把私钥，还需要考虑共享范围是否合适。公开信息控制与私钥分发是两个问题，不能只顾其中一个。
内部系统确有名称保密要求时，可以评估由企业管理信任关系的私有PKI。它需要向受管设备部署信任配置，并安排签发、更新与吊销，不能直接替代面向任意访客的公开信任证书。如果访客使用的是企业无法管理的个人终端，就不能假定这些设备已经信任企业自己的CA。
把日志监测纳入日常证书管理
企业可以定期查询自己管理的域名，也可以使用证书监测服务接收新记录提醒。选择工具时，应看它是否覆盖所需域名、提醒是否及时、能否保留证书标识，而不是只看页面显示了多少条记录。
收到提醒后，建议把记录对应到具体业务负责人和申请渠道。已有自动续期流程的系统，也要知道由哪个平台申请、谁维护域名验证权限。只有在台账中找到了对应任务，才能把这次提醒归为已知续期；其余条目应继续追查来源。
已经撤下的试运行环境也应保留在核查范围内。旧业务不再开放，不代表相关子域名、验证权限及托管证书会自动清理。收到这类名称的新签发提醒时，应确认是否仍有遗留服务在续期，再按实际用途决定保留还是停止。
记录中有预证书或同一证书在多个日志中的条目，查询结果的行数未必等于实际签发张数。做资产统计时，可以结合颁发者与序列号等字段辨认，避免把显示方式带来的多条结果误写成大量异常申请。
SSL证书管理需要同时掌握签发记录与实际部署情况。前者帮助发现未知申请，后者说明访客当前连接到了什么。把两者与业务清单对应起来，公开日志就能成为管理依据，而不只是偶尔搜索域名时看到的一串陌生记录。
SSL证书透明度常见问题
1、证书吊销后公开记录会消失吗？
不会因吊销自动消失。日志仍会保留此前提交的条目，以便日后追查签发经过。也不能只看查询页面仍有这张证书，就判断吊销没有完成；应通过适用的证书状态机制及签发机构反馈核实。
2、买付费SSL证书能要求不公开域名吗？
付费购买并不会让证书获得透明度政策的豁免。面向公网浏览器的公开信任证书，应满足适用的浏览器政策。不要把“不公开记录”当作付费证书默认包含的权益，也不要为了这一点选择无法满足访问要求的方案。
3、CT里查不到名称就能确定它没有证书吗？
不能。查询工具的收录范围、同步延迟和搜索方式都会影响结果，私有信任环境也需要另行判断。核实企业资产时，应同时查看证书台账、云平台配置和实际服务，不能只依据一次查询。
4、配置CAA能阻止域名进入证书日志吗？
不能。CAA用于表达哪些证书机构被授权签发相关证书，不负责关闭透明度记录。它可以作为签发管理的一部分，但不能代替日志监测，也不能让已经公开的名称从历史记录中消失。
5、公开记录中有公司域名就代表网站安全吗？
不能。日志能提供证书签发相关证据，不审核网站经营内容，也不证明应用没有漏洞。涉及登录或交易时，访问者应从可信渠道确认自己进入的是目标网站；网站负责人则应继续维护账号权限、程序更新与业务数据保护。
相关阅读：SSL证书安装到域名上还是服务器上
