Registra el certificado que presenta un servicio
Los análisis directos con SNI relacionan el certificado que presenta un nombre de host o una IP accesible con su puerto y la observación TLS.
Host o IP, puerto, SNI, detalles TLS y última observaciónInventario de certificados SSL y sus ubicaciones
Busca cada certificado por su huella digital y consulta dónde se ha observado: endpoints públicos, servicios privados, archivos o Kubernetes. Revisa las observaciones actuales y anteriores. Tus herramientas actuales siguen gestionando la emisión y las claves privadas.
Prueba completa de Business de 30 días, después un plan gratuito para hasta 50 certificados. Sin tarjeta. Ningún plan de pago se activa automáticamente.
Los datos de emisión no indican dónde sigue utilizándose un certificado
Un registro de una autoridad de certificación o una entrada de Certificate Transparency demuestra que se ha emitido un certificado. Un inventario también debe indicar dónde se utiliza: qué endpoint lo ha presentado, en qué puerto y con qué SNI, cuándo se observó por última vez y si una copia anterior sigue montada en un entorno privado.
Nocert agrupa las observaciones repetidas por huella SHA-256 y conserva sus ubicaciones. Así reúne en un inventario operativo el certificado, su vencimiento, la fuente, los lugares donde se ha observado y la antigüedad de esas observaciones.
Por qué Certificate Transparency no es un inventario de desplieguesLocaliza las ubicaciones asociadas a un certificado
Nocert conserva la fuente de cada observación para distinguir un certificado que presenta un endpoint de uno almacenado en un archivo u objeto de Kubernetes.
Observa los servicios desde la red interna
Los agentes Sentinel, que solo establecen conexiones salientes, observan servicios TLS mediante análisis de los rangos CIDR y puertos configurados, además de comprobaciones dirigidas a nombres de host obtenidos de los SAN de certificados recién observados.
Ambos tipos de comprobación requieren activar el modo de red; no se necesita una regla de entrada en el cortafuegosConserva las rutas asociadas a cada certificado
Para los certificados finales, Sentinel transmite las observaciones de archivos que se conservan, junto con el equipo que las realizó y la ruta, sin enviar el contenido de las claves privadas.
Un certificado de CA leído del disco puede conservarse sin una observación de archivo ni una ruta asociadaLocaliza certificados en los clústeres
La detección configurada de Kubernetes conserva el clúster, espacio de nombres, objeto y campo de datos de cada certificado observado.
Acceso de solo lectura con las credenciales y los permisos RBAC que proporcionesUna huella digital, varias observaciones
- Endpoint TLS
10.20.0.5:8443 - Archivo de certificado
/etc/gateway/tls.crt - Secret de Kubernetes
production / gateway-tls
Misma huella
Un registro de certificado
*.internal.example.comEjemplo ilustrativoUn certificado renovado tiene una huella nueva y su propio registro.
Busca certificados y consulta sus ubicaciones
Busca por nombre común del sujeto, nombre común del emisor, SAN, número de serie o huella digital. Abre un certificado para consultar su validez, características criptográficas, cadenas observadas, endpoints, rutas de archivos y ubicaciones en Kubernetes, cuando estas fuentes estén disponibles.
- Antigüedad de las observaciones: distingue las observaciones actualmente activas de los registros históricos.
- Ubicaciones: consulta los lugares asociados a la huella digital de un certificado final.
- Evidencias: exporta datos del inventario con fecha y hora en Business y Custom.
- Precios: observar un certificado en varias ubicaciones no hace que cuente como varios certificados.
Qué demuestra cada fuente
Los registros públicos identifican certificados y nombres de host que conviene comprobar. Un análisis de endpoint registra el certificado que presenta un servicio. La detección de archivos y Kubernetes registra certificados almacenados.
| Fuente | Evidencia | Límite |
|---|---|---|
| Registros públicos y DNS | Certificados y nombres de host que conviene comprobar | Un registro o nombre DNS no demuestra por sí solo que exista un despliegue actual |
| Análisis directo de un endpoint | El certificado que presenta un host accesible, en un puerto y con un SNI determinados, en el momento de la observación | Desde Internet no se puede observar un servicio privado o cuyo acceso esté bloqueado |
| Análisis de red de Sentinel | El certificado presentado durante un análisis configurado o una comprobación dirigida a un nombre obtenido de los SAN, desde la red de Sentinel | Los análisis periódicos siguen los rangos CIDR y puertos configurados; las comprobaciones dirigidas a nombres obtenidos de los SAN no se limitan a esa lista de rangos CIDR |
| Análisis de archivos o Kubernetes mediante Sentinel | Una observación de archivo conservada o una ubicación de certificado obtenida mediante la detección configurada de Kubernetes | Que un certificado esté almacenado no demuestra que un servicio lo presente actualmente |
Conserva tus herramientas de emisión y renovación
Nocert observa certificados y resultados de conexiones TLS. Tu autoridad de certificación, cliente ACME, Vault u OpenBao, cert-manager, AD CS y sistemas de despliegue siguen encargándose de emitir, renovar, revocar y desplegar los certificados.
Sin custodia de claves privadas
Los certificados en formato DER y los metadatos del ámbito configurado pueden salir del entorno; el contenido de las claves privadas no.
Modos bajo tu control
El inventario utiliza los modos de red, archivos y Kubernetes. El modo independiente de servicios locales comprueba el propio equipo de Sentinel, pero no incorpora sus resultados al inventario de despliegues.
Se aplican límites de cobertura y resultados
El inventario devuelve evidencias de ubicación dentro de la cobertura y los límites de resultados configurados. No garantiza incluir todos los despliegues ni todas las observaciones.
La antigüedad de las observaciones no demuestra la retirada del certificado
Una observación retirada ha dejado de aparecer dentro del periodo de vigencia de las observaciones. Esto no garantiza que el certificado se haya eliminado.
Preguntas frecuentes sobre el inventario de certificados SSL
¿Cómo evita Nocert los registros de certificados duplicados?
Dentro de un espacio de trabajo, Nocert agrupa las observaciones por la huella SHA-256 del certificado. El mismo certificado observado en varios endpoints, rutas o ubicaciones de Kubernetes sigue siendo un solo registro con varias observaciones.
¿Puedo ver dónde está desplegado un certificado SSL?
Nocert devuelve evidencias de ubicación de endpoints, archivos y Kubernetes dentro de la cobertura y los límites de resultados configurados. Esto no significa que se hayan incluido todos los despliegues u observaciones posibles.
¿Qué significan los registros activos y retirados?
El estado depende de la antigüedad de las observaciones. Un registro retirado no se ha observado dentro del periodo de vigencia actual. Es una evidencia histórica, no una prueba de que el certificado se haya retirado deliberadamente de todos los sistemas.
¿En qué campos de un certificado puedo buscar?
La búsqueda del inventario abarca el nombre común del sujeto, el nombre común del emisor, los SAN, el número de serie y la huella digital. Los detalles del certificado también conservan, cuando están disponibles, información sobre su validez, características criptográficas, cadena, fuente y ubicación.
¿Puedo exportar el inventario de certificados SSL?
Los planes Business y Custom incluyen exportaciones de evidencias en CSV con fecha y hora del inventario de certificados y de otros datos sobre su estado de seguridad. Los propietarios de la organización disponen además de una exportación independiente para la portabilidad del espacio de trabajo.
¿Un certificado renovado genera un registro nuevo?
Sí. Un certificado renovado tiene una huella digital nueva y, por tanto, genera un registro independiente. Así puedes comparar el nuevo certificado con las observaciones anteriores y comprobar si el antiguo sigue apareciendo.
Crea tu primer inventario de certificados
Crea un espacio de trabajo profesional y prueba Business durante 30 días sin tarjeta. Puedes empezar con un dominio público autorizado o configurar Sentinel para la detección interna. Al crear la cuenta, Nocert puede añadir el dominio de tu dirección de correo e iniciar la detección pública de certificados antes de la verificación DNS TXT. Los dominios como gmail.com y outlook.com quedan excluidos.
Consulta cómo funcionan las fuentes de detecciónDominio público que quieres supervisar (opcional)
Continuar al registro
Te enviaremos un código por correo para verificar tu dirección de correo electrónico.