Crea un inventario actualizado a partir de nombres de host públicos, importaciones de zonas DNS en modo de solo lectura y agentes Sentinel con conexiones exclusivamente salientes. Nocert comprueba los certificados que se presentan o almacenan y muestra dónde se han observado, sin sustituir a tu CA ni recoger claves privadas.
Prueba completa de Business de 30 días, después un plan gratuito para hasta 50 certificados. Sin tarjeta. Ningún plan de pago se activa automáticamente.
Los registros de una CA indican qué se ha emitido. Certificate Transparency indica qué se ha registrado públicamente. Ninguno demuestra qué certificado presenta hoy un servicio, si el anterior sigue en otro endpoint o qué se almacena en un entorno privado.
Nocert utiliza esos registros para obtener nombres de host que comprobar. Después, los análisis de endpoints y Sentinel registran dónde se presentan o almacenan los certificados.
Por qué Certificate Transparency es una fuente de detección y no un inventarioCada fuente responde a una pregunta distinta. Nocert conserva la fuente y la ubicación de las observaciones para distinguir un posible objetivo de un despliegue observado.
Fuentes públicas
Los conjuntos de datos públicos de certificados y nombres de host revelan nombres que conviene comprobar. Nocert los utiliza como fuentes de detección, no como prueba de que un certificado siga desplegado.
Certificate Transparency y datos pasivos de nombres de hostAnálisis directo desde Internet
Nocert se conecta a los servicios TLS accesibles y registra el certificado y los detalles TLS que presenta el endpoint.
Nombre de host, IP, puerto, SNI, cadena de certificados y observación TLSDNS de solo lectura
Los conectores de Cloudflare DNS y Route 53 leen las zonas que tus credenciales permiten listar. Los nombres importados generan análisis directos cuando pertenecen a un dominio verificado.
El acceso DNS es de solo lectura; los registros importados son posibles objetivos de análisisDetección privada
Los agentes Sentinel, que solo establecen conexiones salientes, realizan detección de red, servicios locales del equipo, archivos y Kubernetes. El modo de red también puede recibir comprobaciones dirigidas a nombres de host obtenidos de los SAN de certificados finales recién observados.
Cuatro modos independientes, sin reglas de entrada en el cortafuegos ni custodia de claves privadasServicios locales
Un modo independiente enumera los puertos TCP en escucha en el equipo de Sentinel y los comprueba desde ese mismo equipo.
Independiente del modo de red y excluido del inventario de despliegues visible para el cliente
example.comCómo funcionan las alertas de vencimiento de certificados internos
El mismo certificado puede presentarse en varios endpoints, permanecer en un equipo después de una migración y estar montado en más de un clúster. Nocert agrupa las observaciones por la huella digital del certificado y conserva la información de ubicación disponible.
Un nombre de host en un registro público, un certificado presentado por TLS y un archivo de certificado aportan información diferente. La tabla describe cada fuente y sus límites.
| Fuente | Qué encuentra | Límite |
|---|---|---|
| Conjuntos de datos públicos | Nombres de host y certificados observados en registros públicos que conviene comprobar | Un registro público no demuestra que un certificado siga en uso |
| Análisis de endpoint desde Internet | El certificado y la configuración TLS que presenta un host accesible en un puerto determinado | No permite observar servicios privados o cuyo acceso desde Internet esté bloqueado |
| Importación DNS de solo lectura | Nombres de host de las zonas de Cloudflare DNS y Route 53 que tus credenciales permiten listar | Solo los nombres de host de dominios verificados se convierten en objetivos de análisis; un registro DNS debe comprobarse antes de considerarse evidencia de despliegue |
| Análisis de red de Sentinel | Servicios TLS encontrados mediante análisis de los rangos CIDR y puertos configurados, y comprobaciones dirigidas a nombres de host obtenidos de los SAN | Ambos requieren habilitar el modo de red; las comprobaciones dirigidas a nombres obtenidos de los SAN no se limitan a los rangos CIDR configurados |
| Análisis de servicios locales de Sentinel | Servicios TLS en escucha en el equipo de Sentinel, enumerados y comprobados desde el propio equipo | Se activa por separado y sus resultados quedan fuera del inventario de despliegues visible para el cliente |
| Análisis de archivos de Sentinel | Archivos legibles de certificados finales y sus rutas conservadas | Los certificados de CA leídos del disco pueden conservarse sin observación de archivo ni ruta; los permisos limitan la cobertura y las claves privadas no se envían |
| Análisis de Kubernetes de Sentinel | Certificados en los clústeres y espacios de nombres configurados, con su objeto y campo de datos | Utiliza las credenciales y los permisos RBAC de solo lectura que proporciones; puede enviar certificados, pero excluye los valores de claves privadas, como tls.key |
Sentinel consulta Nocert mediante HTTPS saliente y firma las solicitudes con una clave Ed25519 generada localmente. No acepta conexiones entrantes ni requiere reglas de entrada en el cortafuegos.
Los modos de detección de red, servicios locales, archivos y Kubernetes pueden activarse por separado; el modo de red incluye análisis de rangos y comprobaciones de nombres obtenidos de los SAN.
Los certificados en formato DER y los metadatos del ámbito configurado salen del entorno; el contenido de las claves privadas no.
Consulta el archivo firmado de código fuente bajo licencia Apache-2.0 y reproduce la compilación publicada.
Nocert utiliza nombres de host de fuentes públicas para iniciar análisis directos de endpoints, con importaciones DNS opcionales de solo lectura y detección mediante Sentinel con conexiones exclusivamente salientes. Los análisis públicos y las observaciones de red, archivos y Kubernetes de Sentinel alimentan el inventario de despliegues; las observaciones de servicios locales permanecen en un índice independiente del equipo.
Sí. Sentinel puede analizar los rangos CIDR privados y puertos que configures. Si el modo de red está habilitado, también puede recibir comprobaciones dirigidas a nombres de host obtenidos de los SAN de certificados finales recién observados. Los modos de red, servicios locales, archivos y Kubernetes pueden desactivarse por separado; las observaciones de servicios locales quedan fuera del inventario de despliegues visible para el cliente.
Los análisis periódicos de red se limitan a los rangos CIDR y puertos que configures. Sin embargo, un Sentinel con el modo de red habilitado también puede recibir comprobaciones dirigidas a FQDN obtenidos de los SAN de certificados finales recién observados, incluidos los encontrados en archivos, Kubernetes o servicios locales. Estas comprobaciones no se limitan a la lista de rangos CIDR. Desactivar el modo de red detiene ambos tipos de comprobación de red; la detección de servicios locales se activa por separado. Sentinel no proporciona un canal de administración entrante.
No. Sentinel transmite certificados en formato DER y metadatos TLS o de ubicación del ámbito configurado. Permanecen en tu entorno el contenido de las claves privadas, los valores de claves privadas de Kubernetes como tls.key, las credenciales de Kubernetes, el contenido de kubeconfig, las credenciales de los servicios analizados y el contenido de archivos ajenos a los certificados.
No. Nocert se encarga de la detección, inventario y supervisión. Tu CA, cliente ACME, Vault u OpenBao, cert-manager, AD CS o gestor del ciclo de vida sigue encargándose de emitir, renovar, revocar y desplegar los certificados.
Crea un espacio de trabajo profesional y prueba Business durante 30 días sin tarjeta. Puedes empezar con un dominio público autorizado o configurar Sentinel para la detección interna. Al crear la cuenta, Nocert puede añadir el dominio de tu dirección de correo e iniciar la detección pública de certificados antes de la verificación DNS TXT. Los dominios como gmail.com y outlook.com quedan excluidos.
Comparar planesTe enviaremos un código por correo para verificar tu dirección de correo electrónico.