CT 日志是什么
证书透明度（CT）日志是公开、只读的证书签发记录库：机构为某个域名签发证书后，记录会进入日志并被公开检索。对信息收集而言这是完全被动的手段——不向目标发送任何流量，就能得到历史上签发过证书的域名列表，其中常见已下线或从未公开入口的子域。
基本信息
| 数据来源 | CT 日志（RFC 6962）公开检索平台 |
|---|---|
| 收集方式 | 按主域名或组织名检索，属纯被动收集 |
| 产出 | 域名与子域清单，含历史记录 |
| 线索质量 | 数量大、含过期资产，需验证存活与归属 |
| 权限要求 | 无需接触目标，不产生流量特征 |
典型使用场景
- 梳理授权主域名下曾签发证书的子域，补齐资产台账
- 发现未登记在册的运维域名，如 vpn、mail、test 前缀
- 对比同一组织名下多张证书，识别资产归属与业务关联
- 用证书组织字段核对资产是否真属于委托方
- 按签发时间聚类，观察资产上线与迁移节奏
整理步骤
整理步骤
# 1. 按主域名检索证书记录，导出域名列表
# 2. 去重后按前缀聚类（vpn/mail/test/dev 等）
# 3. 与客户资产台账比对，标出差异项
# 4. 只对授权范围内子域做存活抽样，不做规模化探测
# 5. 存疑子域单独提交客户确认归属导出字段读法
| 字段 | 含义 | 注意事项 |
|---|---|---|
| 域名 | 证书覆盖的域名或通配符 | 通配符证书只反映主域，不暴露具体子域 |
| 签发时间 | 证书签发时刻 | 用于判断资产上线节奏与是否已过期 |
| 签发机构 | CA 名称 | 同一组织常使用多个 CA，需合并去重 |
| 组织字段 | 证书主体中的组织名 | 仅 OV 与 EV 证书含实质信息，DV 证书为空 |
CT 线索只说明曾经签发过证书，不等于资产当前存活：历史子域可能已下线、已转让或由第三方托管。
未登记的历史子域若不属于委托方，测试即构成越界；先验证归属，再决定是否纳入范围。