--- title: "Certificate Transparency: få besked om nye certifikater · Wi24rd" description: "Slå Certificate Transparency-overvågning til og sæt CAA-poster på dit domæne. Gratis med Cloudflare, ca. 10 minutter – trin for trin, og hvad du gør, når mailen kommer." url: "https://wi24rd.com/sikkerhedstips/certificate-transparency/" lang: "da" alternates: da: "https://wi24rd.com/sikkerhedstips/certificate-transparency/" en: "https://wi24rd.com/en/security-tips/certificate-transparency/" --- Sikkerhedstip 2 · Certificate Transparency # Få besked, når nogen udsteder et certifikat til dit domæne. Alle certifikater, browserne stoler på, bliver skrevet i offentlige logbøger. Lad nogen læse dem for dig – og bestem samtidig, hvem der overhovedet må udstede dem. Gratis, og ca. 10 minutter med Cloudflare. Senest efterprøvet 1. november 2026 [Gå til trinene](https://wi24rd.com/sikkerhedstips/certificate-transparency/#trin)[Se det virke på wi24rd.com](https://wi24rd.com/sikkerhed/#segl) Tid ~10 min Pris 0 kr. på alle Cloudflare-planer To lag CAA + CT låsen og alarmen Kræver Adgang til din DNS Hvorfor ## Hængelåsen kan forfalskes – men ikke i det skjulte. Certifikatet er det, der giver hængelåsen i browseren. Får en angriber udstedt et gyldigt certifikat til dit domæne – fx via en glemt DNS-post, en overtaget mailkonto eller en fejl hos en udsteder – kan en falsk side se helt ægte ud. Siden 2018 kræver Chrome og Safari, at certifikater skrives i offentlige _Certificate Transparency_-logs, ellers stoler de ikke på dem. Et certifikat til dit domæne kan altså ikke gemmes væk. Men nogen skal kigge – og det er det, CT-overvågning gør. _Sådan virker det: En udsteder laver et certifikat til dit domæne. Det skrives i en offentlig Certificate Transparency-log. Overvågningen læser loggen og sender dig en e-mail._ 1. **Udsteder**laver et certifikat 2. **Offentlig CT-log**alle kan læse den 3. **Overvågning**ser dit domænenavn 4. **E-mail til dig**du tjekker, om det er dit **To lag, der arbejder sammen** **CAA-poster er låsen.** En lille DNS-post, der fortæller alle udstedere, hvem der må lave certifikater til dit domæne. Alle andre skal sige nej. **CT-overvågning er alarmen.** Den læser de offentlige logs og skriver til dig, når der dukker et certifikat op med dit domænenavn. Trin for trin · Cloudflare ## Seks trin, ca. 10 minutter. 1. ### Åbn dit domæne i Cloudflare Log ind på [dash.cloudflare.com](https://dash.cloudflare.com/) og vælg det domæne, du vil beskytte. 2. ### Gå til Edge Certificates I menuen til venstre: **SSL/TLS → Edge Certificates**. Rul ned til kortet **Certificate Transparency Monitoring**. 3. ### Slå overvågningen til Tryk på kontakten. Der dukker en gul besked op: _Alerts are on but no recipients are enrolled_. Den betyder, at der endnu ikke sendes noget til nogen. 4. ### Tilføj en modtager Skriv din e-mail under **Notification email** og tryk **Add Email**. Når der står _Alerts active – 1 recipients_ i grønt, virker det. 5. ### Sæt låsen på: tilføj CAA-poster Gå til **DNS → Records → Add record**. Vælg typen **CAA**, navnet `@` (dit domæne), mærket _Only allow specific hostnames_ (det tekniske navn er `issue`) og skriv udstederen, fx `letsencrypt.org`. Gem, og gentag med `pki.goog` (Google Trust Services). 6. ### Kontrollér resultatet Kør kommandoen herunder. Du vil se flere udstedere, end du selv skrev: Cloudflare tilføjer automatisk – og usynligt i oversigten – de udstedere, den selv bruger til dine certifikater, så de kan fornyes. Det er forventet. Alle andre udstedere er nu lukket ude. ``` dig ditdomaene.dk caa +short ``` På Windows: `nslookup -type=CAA ditdomaene.dk`. Sådan ser det ud for wi24rd.com: fem tilladte udstedere – frem for de mange hundrede, der ellers kunne have udstedt et certifikat. Når mailen kommer ## Hver mail fortjener et kig. Cloudflare sorterer selv sine egne certifikater fra – også de automatiske fornyelser. Når der kommer en mail, er det derfor et certifikat, som en anden har fået udstedt. Mailen viser domænet, udstederen, navnene på certifikatet og hvor længe det gælder. 1. ### Har du selv bestilt det? Eller en tjeneste, du bruger: mailudbyder, nyhedsbrev, webshop, hostingfirma. Så er alt i orden. 2. ### Passer navnene? Kender du alle underdomæner på certifikatet? Et ukendt navn kan være en glemt DNS-post, nogen har overtaget. 3. ### Kan ingen forklare det? Kontakt udstederen – kun de kan tilbagekalde certifikatet. Skift adgangskoder til DNS og domæneregistrator, og slå totrinsbekræftelse til. Uden Cloudflare ## Det kan også lade sig gøre. - **CAA** kan sættes hos langt de fleste DNS-udbydere – kig efter posttypen CAA. - **[crt.sh](https://crt.sh/)** er gratis og viser alle certifikater i de offentlige logs. Søg på `%.ditdomaene.dk` for at se, hvad der allerede findes. Det er et øjebliksbillede, ikke en alarm. - **[Cert Spotter](https://sslmate.com/certspotter/)** overvåger for dig fra 15 USD om måneden med 30 dages gratis prøve. Den findes også som [gratis open source-program](https://github.com/SSLMate/certspotter), du selv kan køre på en server. CT-overvågning fanger ikke look-alike-domæner som `wi24rd-login.com` – kun certifikater med dit eget domænenavn. **Om tippet** wi24rd.com bruger selv begge lag. Du kan se CAA-posterne og DNSSEC slået op live under [Værnets segl](https://wi24rd.com/sikkerhed/#segl). Fremgangsmåden er efterprøvet i Cloudflares kontrolpanel 1. november 2026, hvor Certificate Transparency-overvågning er tilgængelig på alle planer. Wi24rd har ingen økonomisk interesse i Cloudflare eller SSLMate. [Alle sikkerhedstips](https://wi24rd.com/sikkerhedstips/) [Tilbage til Sikkerhedstips](https://wi24rd.com/sikkerhedstips/)[Til toppen](https://wi24rd.com/sikkerhedstips/certificate-transparency/#top) ## Mangler du et tip? Skriv, hvad du gerne vil have forklaret. Næste sikkerhedstip kan være dit. [Skriv til Wi24rd](https://wi24rd.com/kontakt/)[Sitets eget værn](https://wi24rd.com/sikkerhed/)