Erstellen Sie ein aktuelles Zertifikatsinventar aus öffentlichen Hostnamenquellen, DNS-Zonen mit Lesezugriff und den Ergebnissen Ihrer Sentinel-Agenten. Diese bauen ausschließlich ausgehende Verbindungen auf. Nocert prüft die tatsächlich bereitgestellten oder gespeicherten Zertifikate und zeigt ihre Fundorte. Ihre Zertifizierungsstelle bleibt bestehen; private Schlüssel werden nicht erfasst.
Business 30 Tage lang mit vollem Funktionsumfang testen, danach ein kostenloser Tarif für bis zu 50 Zertifikate. Keine Zahlungskarte erforderlich. Es beginnt nicht automatisch ein kostenpflichtiger Tarif.
Die Aufzeichnungen einer Zertifizierungsstelle zeigen, was ausgestellt wurde. Certificate Transparency zeigt, was öffentlich protokolliert wurde. Keines von beiden belegt, welches Zertifikat ein Dienst heute vorlegt, ob eine alte Kopie noch an einem anderen Endpunkt vorhanden ist oder was in einer privaten Umgebung gespeichert wird.
Nocert nutzt diese Einträge, um zu prüfende Hostnamen zu finden. Endpunktscans und Sentinel erfassen anschließend, wo Zertifikate bereitgestellt oder gespeichert sind.
Warum Certificate Transparency ein Signal und kein Inventar istJede Quelle beantwortet eine andere Frage. Nocert bewahrt den Quellen- und Standortkontext, damit Ihr Team einen Hinweis von einer tatsächlich beobachteten Bereitstellung unterscheiden kann.
Öffentliche Signale
Öffentliche Zertifikats- und Hostnamendatensätze liefern Namen, die geprüft werden sollten. Nocert behandelt sie als Erkennungssignale, nicht als Beweis dafür, dass ein Zertifikat noch bereitgestellt wird.
Certificate Transparency und passive HostnamendatenLive-Internet-Scan
Nocert verbindet sich mit erreichbaren TLS-Diensten und zeichnet das tatsächlich vom Endpunkt vorgelegte Zertifikat sowie die TLS-Details auf.
Hostname, IP, Port, SNI, Zertifikatskette und TLS-BeobachtungDNS mit Lesezugriff
Die Konnektoren für Cloudflare DNS und Route 53 lesen die Zonen, die sich mit Ihren Anmeldedaten auflisten lassen. Importierte Hostnamen lösen Live-Scans aus, sobald sie zu einer verifizierten Domain gehören.
Der DNS-Zugriff erfolgt ausschließlich lesend; importierte Einträge sind mögliche ScanzielePrivate Erkennung
Sentinel-Instanzen, die nur ausgehende Verbindungen aufbauen, führen Netzwerk-, Local-Listener-, Dateisystem- und Kubernetes-Erkennung aus. Der Netzwerkmodus kann außerdem gezielte Hostnamenprüfungen empfangen, die aus den SANs neu beobachteter Blattzertifikate abgeleitet werden.
Vier unabhängige Schalter, keine eingehende Firewallregel und keine Verwahrung privater SchlüsselLokale Listener des Hosts
Ein eigener Local-Listener-Modus listet die lauschenden TCP-Ports auf dem Sentinel-Host auf und prüft sie vom Host selbst aus.
Vom Netzwerkmodus getrennt und aus dem für Kunden sichtbaren Bereitstellungsinventar ausgeschlossen
example.comSo funktionieren Warnungen vor dem Ablauf interner Zertifikate
Dasselbe Zertifikat kann an mehreren Endpunkten vorgelegt werden, nach einer Migration auf einem Host zurückbleiben und in mehreren Clustern eingebunden sein. Nocert gruppiert Beobachtungen anhand des Zertifikatsfingerabdrucks und bewahrt dabei den verfügbaren Standortkontext.
Ein Hostname in einem öffentlichen Eintrag, ein über TLS bereitgestelltes Zertifikat und eine Zertifikatsdatei liefern unterschiedliche Informationen. Die Tabelle beschreibt die einzelnen Quellen und ihre Grenzen.
| Quelle | Was sie findet | Grenze |
|---|---|---|
| Öffentliche Datensätze | Mögliche Hostnamen und Zertifikate aus öffentlichen Aufzeichnungen | Eine öffentliche Aufzeichnung beweist nicht, dass ein Zertifikat noch im Einsatz ist |
| Internet-Endpunkt-Scan | Das Zertifikat und die TLS-Konfiguration, die ein erreichbarer Host am betreffenden Port vorlegt | Private oder aus dem Internet nicht erreichbare Dienste bleiben unsichtbar |
| DNS-Import mit Lesezugriff | Hostnamen in Cloudflare-DNS- und Route-53-Zonen, die mit Ihren Anmeldedaten aufgelistet werden können | Nur Hostnamen unter einer verifizierten Domain werden zu Scanzielen, und ein DNS-Eintrag wird gescannt, bevor er zum Bereitstellungsnachweis wird |
| Sentinel-Netzwerkscan | TLS-Dienste aus konfigurierten CIDR- und Port-Sweeps sowie gezielten, aus SANs abgeleiteten Hostnamenprüfungen | Der Netzwerkschalter steuert beides; gezielte SAN-Prüfungen sind nicht auf die konfigurierte CIDR-Liste beschränkt |
| Sentinel-Local-Listener-Scan | TLS-Listener auf dem Sentinel-Host, aufgelistet und vom Host selbst geprüft | Verwendet einen separaten Schalter und bleibt außerhalb des für Kunden sichtbaren Bereitstellungsinventars |
| Sentinel-Dateisystemscan | Dateien mit lesbaren Blattzertifikaten und ihre beibehaltenen Pfade | Von Datenträgern gelesene CA-Zertifikate können auch ohne Dateisystemfund oder Pfadangabe als Zertifikate gespeichert werden; Berechtigungen begrenzen die Abdeckung und private Schlüssel werden nicht gesendet |
| Sentinel-Kubernetes-Scan | Zertifikate in konfigurierten Clustern und Namespaces mit Objekt- und Datenfeldkontext | Verwendet die von Ihnen bereitgestellten Anmeldedaten und RBAC-Berechtigungen mit Lesezugriff; Zertifikatswerte können gesendet werden, Werte privater Schlüssel wie tls.key sind ausgeschlossen |
Sentinel fragt Nocert über ausgehendes HTTPS ab und signiert seine Anfragen mit einem lokal erzeugten Ed25519-Schlüssel. Sentinel akzeptiert keine eingehenden Verbindungen und benötigt keine eingehende Firewallregel.
Netzwerk-, Local-Listener-, Dateisystem- und Kubernetes-Modi lassen sich unabhängig voneinander ein- und ausschalten. Der Netzwerkmodus umfasst konfigurierte Netzwerkscans und aus SANs abgeleitete gezielte Prüfungen.
Das Zertifikat im DER-Format und bereichsbezogene Metadaten verlassen die Umgebung; die Bytes privater Schlüssel nicht.
Prüfen Sie das signierte Quellcodearchiv unter Apache-2.0-Lizenz und reproduzieren Sie den veröffentlichten Build.
Nocert nutzt öffentliche Hostnamensignale, um Scans erreichbarer Endpunkte anzustoßen, ergänzt durch optionale DNS-Importe mit Lesezugriff und die Erkennung durch Sentinel, das nur ausgehende Verbindungen aufbaut. Öffentliche Live-Scans sowie Sentinel-Beobachtungen aus Netzwerk-, Dateisystem- und Kubernetes-Scans speisen den Bereitstellungsbestand; Beobachtungen des lokalen Listeners verbleiben im separaten hostlokalen Index.
Ja. Sentinel kann die von Ihnen konfigurierten privaten CIDRs und Ports scannen. Bei aktiviertem Netzwerkmodus kann Sentinel außerdem gezielte Hostnamenprüfungen empfangen, die aus den SANs neu beobachteter Blattzertifikate abgeleitet werden. Netzwerk-, Local-Listener-, Dateisystem- und Kubernetes-Modus lassen sich unabhängig deaktivieren; Beobachtungen des lokalen Listeners bleiben außerhalb des für Kunden sichtbaren Bereitstellungsbestands.
Regelmäßige Netzwerksweeps bleiben auf die von Ihnen konfigurierten CIDRs und Ports begrenzt. Bei aktiviertem Netzwerkmodus kann Sentinel jedoch auch gezielte FQDN-Prüfungen aus den SANs neu beobachteter Blattzertifikate erhalten. Dazu gehören Zertifikate, die auf dem Datenträger, in Kubernetes oder über einen lokalen Listener des Hosts gefunden wurden; diese Prüfungen sind nicht auf die CIDR-Liste begrenzt. Das Deaktivieren des Netzwerkmodus stoppt beide Arten von Netzwerkprüfungen. Die Local-Listener-Erkennung besitzt einen eigenen Schalter. Sentinel stellt keinen eingehenden Verwaltungskanal bereit.
Nein. Sentinel meldet das Zertifikat im DER-Format und bereichsbezogene Standort- oder TLS-Metadaten. Die Bytes privater Zertifikatsschlüssel, Kubernetes-Werte privater Schlüssel wie tls.key, Kubernetes-Anmeldedaten, kubeconfig-Inhalte, Anmeldedaten gescannter Dienste und sachfremde Dateiinhalte bleiben in Ihrer Umgebung.
Nein. Nocert ist die Ebene für Erkennung, Inventarisierung und Überwachung. Ihre vorhandene Zertifizierungsstelle, Ihr ACME-Client, Vault oder OpenBao, cert-manager, AD CS oder Ihr Lifecycle-Manager bleibt für Ausstellung, Erneuerung, Widerruf und Bereitstellung verantwortlich.
Erstellen Sie einen Arbeitsbereich für Ihre berufliche Nutzung und testen Sie Business 30 Tage ohne Zahlungskarte. Beginnen Sie mit einer öffentlichen Domain, die Sie überwachen dürfen, oder konfigurieren Sie Sentinel für die interne Erkennung. Bei der Registrierung kann Nocert die Domain Ihrer E-Mail-Adresse hinzufügen und bereits vor der DNS-TXT-Prüfung mit der öffentlichen Zertifikatserkennung beginnen. Domains wie gmail.com und outlook.com sind davon ausgenommen.
Tarife vergleichenWir senden Ihnen einen Code per E-Mail, um Ihre E-Mail-Adresse zu bestätigen.