Subdomains und Zertifikate

Subdomains einer Website und alle SSL-Zertifikate finden

Jedes öffentliche SSL-Zertifikat landet in offenen Certificate-Transparency-Logs. Sie zeigen, welche Subdomains Zertifikate bekommen haben und wann jedes Zertifikat abläuft.

Subdomains einer Seite als Äste eines Baums, jede mit eigenem SSL-Zertifikat

Woher die Subdomains kommen

Seit 2018 vertrauen Browser nur Zertifikaten, die in Certificate-Transparency-Logs stehen. Diese Logs kann jeder lesen, sie verraten also jeden Namen, für den ein Zertifikat ausgestellt wurde.

Subdomains ohne Zertifikat kommen nie in die Logs, ebenso wenig Namen unter einer Wildcard wie *.example.com. Die vollständige Liste kennt nur der Inhaber der DNS-Zone.

Wann es hilft

Prüfen, ob das Zertifikat der Seite bald abläuft und wer es ausgestellt hat.
Vergessene Subdomains mit Testkopien der Seite finden.
Subdomains eines Wettbewerbers für SEO-Recherche sammeln.
Ein Zertifikat entdecken, das jemand anderes für Ihre Domain ausgestellt hat.

Fragen und Antworten

01Warum fehlen manche Subdomains?

Die Logs enthalten nur Namen, die öffentliche Zertifikate bekommen haben. Subdomains ohne HTTPS und Namen unter einem Wildcard-Zertifikat tauchen hier nicht auf.

02Wie prüfe ich, wann ein SSL-Zertifikat abläuft?

Geben Sie die Domain ein: Der Block Aktuelles Zertifikat zeigt das Enddatum und die verbleibenden Tage. Let's Encrypt stellt Zertifikate für 90 Tage aus, sie erneuern sich also automatisch.

03Woher kommen die Daten?

Aus öffentlichen Certificate-Transparency-Logs über crt.sh und Cert Spotter. Ihr Browser fragt sie direkt ab.

04Kann ich eine Subdomain in den Zertifikatslogs verbergen?

Nur mit einem Wildcard-Zertifikat für *.example.com: Ins Log kommt die Maske, nicht der Name der Subdomain. Ein Zertifikat für einen bestimmten Namen bleibt dauerhaft veröffentlicht.

05Warum zeigt die Liste Subdomains, die es nicht mehr gibt?

Die Logs speichern jedes ausgestellte Zertifikat, auch alte. Die Subdomain kann aus dem DNS verschwunden sein, während der Zertifikatseintrag bleibt. Prüfen Sie ihren A-Record, um zu sehen, ob sie noch lebt.