Sikkerhedstip 2 · Certificate Transparency

Få besked, når nogen udsteder et certifikat til dit domæne.

Alle certifikater, browserne stoler på, bliver skrevet i offentlige logbøger. Lad nogen læse dem for dig – og bestem samtidig, hvem der overhovedet må udstede dem. Gratis, og ca. 10 minutter med Cloudflare.

Senest efterprøvet 1. november 2026

Gå til trinene Se det virke på wi24rd.com
Tid
~10 min
Pris
0 kr. på alle Cloudflare-planer
To lag
CAA + CT låsen og alarmen
Kræver
Adgang til din DNS

Hvorfor

Hængelåsen kan forfalskes – men ikke i det skjulte.

Certifikatet er det, der giver hængelåsen i browseren. Får en angriber udstedt et gyldigt certifikat til dit domæne – fx via en glemt DNS-post, en overtaget mailkonto eller en fejl hos en udsteder – kan en falsk side se helt ægte ud.

Siden 2018 kræver Chrome og Safari, at certifikater skrives i offentlige Certificate Transparency-logs, ellers stoler de ikke på dem. Et certifikat til dit domæne kan altså ikke gemmes væk. Men nogen skal kigge – og det er det, CT-overvågning gør.

Sådan virker det: En udsteder laver et certifikat til dit domæne. Det skrives i en offentlig Certificate Transparency-log. Overvågningen læser loggen og sender dig en e-mail.
  1. Udstederlaver et certifikat
  2. Offentlig CT-logalle kan læse den
  3. Overvågningser dit domænenavn
  4. E-mail til digdu tjekker, om det er dit

To lag, der arbejder sammen

CAA-poster er låsen. En lille DNS-post, der fortæller alle udstedere, hvem der må lave certifikater til dit domæne. Alle andre skal sige nej.

CT-overvågning er alarmen. Den læser de offentlige logs og skriver til dig, når der dukker et certifikat op med dit domænenavn.

Trin for trin · Cloudflare

Seks trin, ca. 10 minutter.

  1. Åbn dit domæne i Cloudflare

    Log ind på dash.cloudflare.com og vælg det domæne, du vil beskytte.

  2. Gå til Edge Certificates

    I menuen til venstre: SSL/TLS → Edge Certificates. Rul ned til kortet Certificate Transparency Monitoring.

  3. Slå overvågningen til

    Tryk på kontakten. Der dukker en gul besked op: Alerts are on but no recipients are enrolled. Den betyder, at der endnu ikke sendes noget til nogen.

  4. Tilføj en modtager

    Skriv din e-mail under Notification email og tryk Add Email. Når der står Alerts active – 1 recipients i grønt, virker det.

  5. Sæt låsen på: tilføj CAA-poster

    Gå til DNS → Records → Add record. Vælg typen CAA, navnet @ (dit domæne), mærket Only allow specific hostnames (det tekniske navn er issue) og skriv udstederen, fx letsencrypt.org. Gem, og gentag med pki.goog (Google Trust Services).

  6. Kontrollér resultatet

    Kør kommandoen herunder. Du vil se flere udstedere, end du selv skrev: Cloudflare tilføjer automatisk – og usynligt i oversigten – de udstedere, den selv bruger til dine certifikater, så de kan fornyes. Det er forventet. Alle andre udstedere er nu lukket ude.

dig ditdomaene.dk caa +short

På Windows: nslookup -type=CAA ditdomaene.dk. Sådan ser det ud for wi24rd.com: fem tilladte udstedere – frem for de mange hundrede, der ellers kunne have udstedt et certifikat.

Når mailen kommer

Hver mail fortjener et kig.

Cloudflare sorterer selv sine egne certifikater fra – også de automatiske fornyelser. Når der kommer en mail, er det derfor et certifikat, som en anden har fået udstedt. Mailen viser domænet, udstederen, navnene på certifikatet og hvor længe det gælder.

  1. Har du selv bestilt det?

    Eller en tjeneste, du bruger: mailudbyder, nyhedsbrev, webshop, hostingfirma. Så er alt i orden.

  2. Passer navnene?

    Kender du alle underdomæner på certifikatet? Et ukendt navn kan være en glemt DNS-post, nogen har overtaget.

  3. Kan ingen forklare det?

    Kontakt udstederen – kun de kan tilbagekalde certifikatet. Skift adgangskoder til DNS og domæneregistrator, og slå totrinsbekræftelse til.

Uden Cloudflare

Det kan også lade sig gøre.

  • CAA kan sættes hos langt de fleste DNS-udbydere – kig efter posttypen CAA.
  • crt.sh er gratis og viser alle certifikater i de offentlige logs. Søg på %.ditdomaene.dk for at se, hvad der allerede findes. Det er et øjebliksbillede, ikke en alarm.
  • Cert Spotter overvåger for dig fra 15 USD om måneden med 30 dages gratis prøve. Den findes også som gratis open source-program, du selv kan køre på en server.

CT-overvågning fanger ikke look-alike-domæner som wi24rd-login.com – kun certifikater med dit eget domænenavn.

Om tippet

wi24rd.com bruger selv begge lag. Du kan se CAA-posterne og DNSSEC slået op live under Værnets segl. Fremgangsmåden er efterprøvet i Cloudflares kontrolpanel 1. november 2026, hvor Certificate Transparency-overvågning er tilgængelig på alle planer.

Wi24rd har ingen økonomisk interesse i Cloudflare eller SSLMate.

Alle sikkerhedstips

Tilbage til SikkerhedstipsTil toppen

Mangler du et tip?

Skriv, hvad du gerne vil have forklaret. Næste sikkerhedstip kan være dit.

Skriv til Wi24rd Sitets eget værn