Erstellen Sie aus öffentlichen Hostnamensignalen, DNS-Zonen mit Lesezugriff und Sentinel-Instanzen, die nur ausgehende Verbindungen aufbauen, einen aktuellen Zertifikatsbestand. Nocert prüft, was tatsächlich bereitgestellt oder gespeichert wird, und zeigt, wo die einzelnen Zertifikate beobachtet wurden. Ihre Zertifizierungsstelle wird dabei nicht ersetzt; private Schlüssel werden nicht erfasst.
Business 30 Tage lang mit vollem Funktionsumfang testen, danach ein kostenloser Tarif für bis zu 10 Zertifikate. Keine Zahlungskarte erforderlich. Es beginnt nicht automatisch ein kostenpflichtiger Tarif.
Die Aufzeichnungen einer Zertifizierungsstelle zeigen, was ausgestellt wurde. Certificate Transparency zeigt, was öffentlich protokolliert wurde. Keines von beiden belegt, welches Zertifikat ein Dienst heute vorlegt, ob eine alte Kopie noch an einem anderen Endpunkt vorhanden ist oder was in einer privaten Umgebung gespeichert wird.
Nocert nutzt diese Aufzeichnungen, um prüfenswerte Ziele zu ermitteln, und stützt den Bereitstellungsnachweis anschließend auf Live-Beobachtungen der Endpunkte und von Sentinel. So entsteht ein SSL/TLS-Zertifikatsbestand mit Bezug zu tatsächlichen Bereitstellungsorten statt einer von der Infrastruktur losgelösten Namensliste.
Warum Certificate Transparency ein Signal und kein Inventar istJede Quelle beantwortet eine andere Frage. Nocert bewahrt den Quellen- und Standortkontext, damit Ihr Team einen Hinweis von einer tatsächlich beobachteten Bereitstellung unterscheiden kann.
Öffentliche Zertifikats- und Hostnamendatensätze liefern Namen, die geprüft werden sollten. Nocert behandelt sie als Erkennungssignale, nicht als Beweis dafür, dass ein Zertifikat noch bereitgestellt wird.
Certificate Transparency und passive HostnamendatenNocert verbindet sich mit erreichbaren TLS-Diensten und zeichnet das tatsächlich vom Endpunkt vorgelegte Zertifikat sowie die TLS-Details auf.
Hostname, IP, Port, SNI, Zertifikatskette und TLS-BeobachtungDie Konnektoren für Cloudflare DNS und Route 53 lesen die Zonen, die sich mit Ihren Anmeldedaten auflisten lassen. Importierte Hostnamen lösen Live-Scans aus, sobald sie zu einer verifizierten Domain gehören.
Der DNS-Zugriff erfolgt ausschließlich lesend; importierte Einträge sind mögliche ScanzieleSentinel-Instanzen, die nur ausgehende Verbindungen aufbauen, führen Netzwerk-, Local-Listener-, Dateisystem- und Kubernetes-Erkennung aus. Der Netzwerkmodus kann außerdem gezielte Hostnamenprüfungen empfangen, die aus den SANs neu beobachteter Blattzertifikate abgeleitet werden.
Vier unabhängige Schalter, keine eingehende Firewallregel und keine Verwahrung privater SchlüsselEin eigener Local-Listener-Modus listet die lauschenden TCP-Ports auf dem Sentinel-Host auf und prüft sie vom Host selbst aus.
Vom Netzwerkmodus getrennt und aus dem für Kunden sichtbaren Bereitstellungsinventar ausgeschlossenDie öffentliche Erkennung beginnt mit der Domain der bei der Registrierung bestätigten geschäftlichen E-Mail-Adresse. Erneute Abfragen der öffentlichen Datenquellen setzen einen Kontrollnachweis voraus; die private Erkennung richtet sich nach den von Ihnen aktivierten Sentinel-Modi.
Nach der Registrierung löst die Domain der bestätigten geschäftlichen E-Mail-Adresse einen einmaligen öffentlichen Scan und einen Durchlauf durch öffentliche Hostnamendatensätze aus. Die dabei gefundenen Hosts werden anschließend erneut gescannt; SAN-Hostnamen innerhalb derselben Domain werden ebenfalls verfolgt. Vor einer erneuten Abfrage dieser Datensätze oder dem Scannen von DNS-Connector-Importen ist ein Kontrollnachweis per DNS-TXT-Eintrag erforderlich.
Stellen Sie Sentinel dort bereit, wo externe Scanner keinen Zugang haben. Überprüfen Sie die Schalter für Netzwerk-, Local-Listener-, Dateisystem- und Kubernetes-Erkennung sowie deren Einstellungen. Der Netzwerkmodus ermöglicht auch gezielte, aus SANs abgeleitete Hostnamenprüfungen.
Öffentliche Scanner und Sentinel-Instanzen melden, was sie tatsächlich beobachten. Beobachtungen mit demselben Fingerabdruck werden in einem Zertifikatsdatensatz samt Bereitstellungsorten zusammengeführt.
Wiederkehrende Erkennung hält den Bestand aktuell; Ablaufregeln leiten Warnungen per E-Mail, Slack, Microsoft Teams oder Discord weiter.
So funktionieren Warnungen vor dem Ablauf interner Zertifikate
Dasselbe Zertifikat kann an mehreren Endpunkten vorgelegt werden, nach einer Migration auf einem Host zurückbleiben und in mehreren Clustern eingebunden sein. Nocert gruppiert Beobachtungen anhand des Zertifikatsfingerabdrucks und bewahrt dabei den verfügbaren Standortkontext.
Der Bestand bleibt nützlich, weil Nocert nicht so tut, als liefere jede Quelle denselben Nachweisgrad.
| Quelle | Was sie findet | Grenze |
|---|---|---|
| Öffentliche Datensätze | Mögliche Hostnamen und Zertifikate aus öffentlichen Aufzeichnungen | Eine öffentliche Aufzeichnung beweist nicht, dass ein Zertifikat noch im Einsatz ist |
| Internet-Endpunkt-Scan | Das Zertifikat und die TLS-Konfiguration, die ein erreichbarer Host am betreffenden Port vorlegt | Private oder aus dem Internet nicht erreichbare Dienste bleiben unsichtbar |
| DNS-Import mit Lesezugriff | Hostnamen in Cloudflare-DNS- und Route-53-Zonen, die mit Ihren Anmeldedaten aufgelistet werden können | Nur Hostnamen unter einer verifizierten Domain werden zu Scanzielen, und ein DNS-Eintrag wird gescannt, bevor er zum Bereitstellungsnachweis wird |
| Sentinel-Netzwerkscan | TLS-Dienste aus konfigurierten CIDR- und Port-Sweeps sowie gezielten, aus SANs abgeleiteten Hostnamenprüfungen | Der Netzwerkschalter steuert beides; gezielte SAN-Prüfungen sind nicht auf die konfigurierte CIDR-Liste beschränkt |
| Sentinel-Local-Listener-Scan | TLS-Listener auf dem Sentinel-Host, aufgelistet und vom Host selbst geprüft | Verwendet einen separaten Schalter und bleibt außerhalb des für Kunden sichtbaren Bereitstellungsinventars |
| Sentinel-Dateisystemscan | Dateien mit lesbaren Blattzertifikaten und ihre beibehaltenen Pfade | Von Datenträgern gelesene CA-Zertifikate können auch ohne Dateisystemfund oder Pfadangabe als Zertifikate gespeichert werden; Berechtigungen begrenzen die Abdeckung und private Schlüssel werden nicht gesendet |
| Sentinel-Kubernetes-Scan | Zertifikate in konfigurierten Clustern und Namespaces mit Objekt- und Datenfeldkontext | Verwendet die von Ihnen bereitgestellten Anmeldedaten und RBAC-Berechtigungen mit Lesezugriff; Zertifikatswerte können gesendet werden, Werte privater Schlüssel wie tls.key sind ausgeschlossen |
Sentinel fragt Nocert über ausgehendes HTTPS ab und signiert seine Anfragen mit einem lokal erzeugten Ed25519-Schlüssel. Sentinel akzeptiert keine eingehenden Verbindungen und benötigt keine eingehende Firewallregel.
Netzwerk-, Local-Listener-, Dateisystem- und Kubernetes-Modi lassen sich unabhängig voneinander ein- und ausschalten. Der Netzwerkmodus umfasst konfigurierte Sweeps und aus SANs abgeleitete gezielte Prüfungen.
Das Zertifikat im DER-Format und bereichsbezogene Metadaten verlassen die Umgebung; die Bytes privater Schlüssel nicht.
Prüfen Sie das signierte Quellcodearchiv unter Apache-2.0-Lizenz und reproduzieren Sie den veröffentlichten Build.
Nocert nutzt öffentliche Hostnamensignale, um Scans erreichbarer Endpunkte anzustoßen, ergänzt durch optionale DNS-Importe mit Lesezugriff und die Erkennung durch Sentinel, das nur ausgehende Verbindungen aufbaut. Öffentliche Live-Scans sowie Sentinel-Beobachtungen aus Netzwerk-, Dateisystem- und Kubernetes-Scans speisen den Bereitstellungsbestand; Beobachtungen des lokalen Listeners verbleiben im separaten hostlokalen Index.
Ja. Sentinel kann die von Ihnen konfigurierten privaten CIDRs und Ports scannen. Bei aktiviertem Netzwerkmodus kann Sentinel außerdem gezielte Hostnamenprüfungen empfangen, die aus den SANs neu beobachteter Blattzertifikate abgeleitet werden. Netzwerk-, Local-Listener-, Dateisystem- und Kubernetes-Modus lassen sich unabhängig deaktivieren; Beobachtungen des lokalen Listeners bleiben außerhalb des für Kunden sichtbaren Bereitstellungsbestands.
Regelmäßige Netzwerksweeps bleiben auf die von Ihnen konfigurierten CIDRs und Ports begrenzt. Bei aktiviertem Netzwerkmodus kann Sentinel jedoch auch gezielte FQDN-Prüfungen aus den SANs neu beobachteter Blattzertifikate erhalten. Dazu gehören Zertifikate, die auf dem Datenträger, in Kubernetes oder über einen lokalen Listener des Hosts gefunden wurden; diese Prüfungen sind nicht auf die CIDR-Liste begrenzt. Das Deaktivieren des Netzwerkmodus stoppt beide Arten von Netzwerkprüfungen. Die Local-Listener-Erkennung besitzt einen eigenen Schalter. Sentinel stellt keinen eingehenden Verwaltungskanal bereit.
Nein. Sentinel meldet das Zertifikat im DER-Format und bereichsbezogene Standort- oder TLS-Metadaten. Die Bytes privater Zertifikatsschlüssel, Kubernetes-Werte privater Schlüssel wie tls.key, Kubernetes-Anmeldedaten, kubeconfig-Inhalte, Anmeldedaten gescannter Dienste und sachfremde Dateiinhalte bleiben in Ihrer Umgebung.
Nein. Nocert ist die Ebene für Erkennung, Inventarisierung und Überwachung. Ihre vorhandene Zertifizierungsstelle, Ihr ACME-Client, Vault oder OpenBao, cert-manager, AD CS oder Ihr Lifecycle-Manager bleibt für Ausstellung, Erneuerung, Widerruf und Bereitstellung verantwortlich.
Geben Sie Ihre Unternehmensdomain ein, fahren Sie mit einer geschäftlichen E-Mail-Adresse fort und testen Sie 30 Tage lang den gesamten Business-Funktionsumfang. Fügen Sie die private Erkennung hinzu, wenn Sie bereit sind, die benötigten Sentinel-Modi zu prüfen und einzurichten.
Tarife und Grenzen prüfen