Bài viết này do AI tạo ra, có thể mắc sai sót.
Cloudflare đã đưa Certificate Transparency Monitoring vào trạng thái phát hành chính thức. Thay đổi quan trọng là hệ thống không còn gửi cảnh báo cho chứng chỉ do chính Cloudflare tự cấp và quản lý, giúp đội vận hành tập trung vào các chứng chỉ TLS xuất hiện ngoài dự kiến.
Certificate Transparency log là nhật ký công khai mà trình duyệt lớn dùng để kiểm chứng việc cấp chứng chỉ. Một chứng chỉ TLS không được ghi log sẽ không được Chrome hoặc Safari tin cậy. Vì thế, đây là nguồn tín hiệu hữu ích để phát hiện hostname có chứng chỉ bị cấp sai hoặc bị cấp trái phép.
Vấn đề là các chứng chỉ Cloudflare quản lý cũng phải xuất hiện trong CT log. Universal SSL có thể gia hạn khoảng mỗi 60 ngày, tối đa khoảng sáu lần mỗi năm; mỗi lần như vậy từng tạo cảnh báo. Lượng cảnh báo hợp lệ nhưng vô hại làm tín hiệu thật bị chìm.
Luồng cảnh báo đọc CT log, còn luồng đặt hàng chứng chỉ xử lý việc cấp phát. Trước đây, hai luồng không có cùng một mã nhận diện đủ sớm để xác nhận chứng chỉ mới thấy trong log có phải do Cloudflare vừa tạo hay không.
Cloudflare chuyển sang dùng public key trong SubjectPublicKeyInfo. Giá trị này tồn tại từ lúc tạo keypair, giữ nguyên qua CSR, pre-certificate và chứng chỉ cuối. Hệ thống hash nó thành spki_sha256; khi CT monitor thấy log entry, nó tự tính lại hash rồi đối chiếu với dữ liệu đặt hàng. Khớp thì im lặng, không khớp thì cảnh báo.
Một chứng chỉ custom tự tải lên không có khóa do Cloudflare tạo, do đó vẫn sinh cảnh báo. Đây là hành vi chủ ý: mục tiêu của CT monitoring là giúp chủ tên miền phát hiện issuance nằm ngoài hệ thống tự động của Cloudflare.
Cảnh báo email mới có hostname bị ảnh hưởng trong subject, thông tin chứng chỉ và liên kết dashboard. Đội vận hành nên giữ quy trình đối chiếu owner, CA, thời điểm cấp và thay đổi DNS/CDN khi có cảnh báo không quen thuộc.
Lọc alert không phải để giảm khả năng phát hiện mà để giảm mệt mỏi cảnh báo. Khi chứng chỉ hợp lệ do nền tảng tự gia hạn bị loại khỏi inbox, tín hiệu còn lại có tỷ lệ hành động cao hơn. Đây là thay đổi đáng giá với người quản trị nhiều hostname hoặc zone dùng SSL tự động.
Thiết kế dùng SPKI cũng là bài học về quan sát hệ thống: mã định danh tốt phải xuất hiện đủ sớm, không đổi qua vòng đời đối tượng và có thể tái tạo độc lập ở nơi cần kiểm tra. Trong vận hành mạng và bảo mật, chọn sai correlation key thường tạo ra cảnh báo thừa hoặc blind spot.
Thông báo chính thức Certificate Transparency Monitoring is now generally available của Cloudflare, công bố ngày 13/8/2026.
