Certificate Transparency（CT）Monitoring は、オプトイン の機能です。ドメイン向けに発行された SSL/TLS 証明書を再確認できます。
CT Monitoring のアラートは、監視対象ドメインをカバーする証明書が 認証局（CA） から発行され、公開 CT ログに追加されたときに発生します。Cloudflare が代理で発行する証明書（バックアップ証明書を含む）のアラートは、自動で除外されます。詳細は Certificate Transparency Monitoring のフィルタリング動作 ↗ を参照してください。CT Monitoring の仕組みは 紹介ブログ ↗ も参照してください。
アラートはデフォルトでオフです。受け取りたい場合は、Edge Certificates ↗ ページを開き、Certificate Transparency Monitoring をオンにしてから Add Email を選びます。
アラートを止めるには、Certificate Transparency Monitoring をオフにするか、機能カードからメールアドレスを削除します。
Cloudflare が発行した証明書は除外されるため、届いたアラートは一度確認する価値があります。
ほとんどのアラートは通常のものです。メールを開き、次の 3 点を確認します。
- ドメイン。 自分が所有するものと一致しますか？
- 発行者。 自分または所属組織がこの証明書を申請したか、利用中のサービスが申請したものですか？ 発行者はメール内の 認証局 として記載されます。
- DNS 名と有効期間。 妥当に見えますか？
所属組織または利用中のサービスが申請したと確認できれば、対応は不要です。そうでなければ、セキュリティチームまたは証明書プロバイダーと発行内容を調査してください。Cloudflare 上に設定した証明書は、ダッシュボードの Edge Certificates ページ ↗ で確認できます。外部の証明書は、CT ログのエントリを確認するか Certificate Search ↗ を使います。
次の場合は対応します。
- 発行者を知らない、または証明書を申請していない。
- DNS 名を知らない。
- ウェブサイトの挙動がおかしい。
不正な証明書を失効できるのは認証局だけです。ドメイン向けに不正な証明書が発行されたと判断した場合は、メールの Issuer に記載された認証局へ連絡してください。
ドメインレジストラは、悪質なドメインを 停止（suspend） できることがあります。たとえば、悪質なドメインが GoDaddy 経由で登録されている場合は、GoDaddy のサポートへ連絡し、対応できるかを確認します。ほかのレジストラでも同様です。
不正な証明書への対策はほかにもあります。サイト上の通知で訪問者に注意を促したり、ブラウザーベンダー（Chrome なら Google など）にドメインのブロックを依頼したりできます。
オンラインでなりすましを受けている場合は、必ず対応してください。見分けは難しいことが多いので、慎重に判断します。大半の証明書は不正ではありません。問題があると判断した場合だけ対応してください。
Certificate Transparency Monitoring は、HTTP Public Key Pinning（HPKP）と同じ問題に対処します。ただし 技術的な問題は少なく ↗ なります。
Cloudflare は HPKP を提供・サポートしていません。Universal SSL との併用も推奨しません。