{"id":15639,"date":"2026-11-04T18:55:00","date_gmt":"2026-11-04T17:55:00","guid":{"rendered":"https:\/\/www.lukaswojcik.com\/blog\/?p=15639"},"modified":"2026-10-26T13:45:58","modified_gmt":"2026-10-26T12:45:58","slug":"rdap-i-certificate-transparency-dwa-publiczne-rejestry-o-jednej-domenie","status":"publish","type":"post","link":"https:\/\/www.lukaswojcik.com\/blog\/pl\/it-networks-pl\/tutorials-pl-it-networks-pl\/rdap-i-certificate-transparency-dwa-publiczne-rejestry-o-jednej-domenie\/","title":{"rendered":"RDAP i Certificate Transparency: dwa publiczne rejestry o jednej domenie"},"content":{"rendered":"

RDAP i Certificate Transparency odpowiadaj\u0105 na r\u00f3\u017cne pytania. RDAP dostarcza opublikowane dane rejestracyjne domeny. Logi CT zapisuj\u0105 zg\u0142oszone certyfikaty lub precertyfikaty. Razem tworz\u0105 przydatne wskaz\u00f3wki, lecz nie pe\u0142ny rejestr w\u0142a\u015bcicieli ani spis wszystkich dzia\u0142aj\u0105cych us\u0142ug.<\/p>\n

\"Publiczne
Publiczne dane dostarczaj\u0105 wskaz\u00f3wek; aktualny stan us\u0142ugi wymaga osobnej weryfikacji.<\/figcaption><\/figure>\n

RDAP: dane uporz\u0105dkowane, lecz ograniczone<\/h2>\n

RDAP oznacza Registration Data Access Protocol. Odpowiedzi zawieraj\u0105 uporz\u0105dkowane dane JSON, na przyk\u0142ad statusy, serwery nazw i dost\u0119pne zdarzenia. Zakres publicznych p\u00f3l zale\u017cy od us\u0142ugi i zasad dost\u0119pu. Brak danych abonenta lub daty wyga\u015bni\u0119cia nie dowodzi braku rejestracji, niedostatecznej ochrony ani rych\u0142ej dost\u0119pno\u015bci domeny.<\/p>\n

DENIC udost\u0119pnia us\u0142ug\u0119 RDAP dla .de<\/code> w trybie pr\u00f3bnym, bez gwarantowanego poziomu us\u0142ug. Bezpo\u015brednie \u017c\u0105danie do https:\/\/rdap.denic.de\/domain\/denic.de<\/code> 25 pa\u017adziernika 2026 o 15:25 UTC zwr\u00f3ci\u0142o status 200, obiekt domeny denic.de<\/code> i status active<\/code>. Odpowied\u017a nie zawiera\u0142a daty wyga\u015bni\u0119cia. B\u0142\u0105d po\u015brednika, takiego jak rdap.org, nie dowodzi wi\u0119c braku us\u0142ugi RDAP w DENIC.<\/p>\n

Blokada transferu ma okre\u015blony zakres<\/h2>\n

Status EPP clientTransferProhibited<\/code>, zapisywany w RDAP jako client transfer prohibited<\/code>, blokuje przeniesienie do innego rejestratora podczas obowi\u0105zywania ograniczenia. Blokad\u0105 po stronie serwera zarz\u0105dza rejestr. \u017badna z tych blokad nie gwarantuje ochrony przed ka\u017cdym przej\u0119ciem konta, zmian\u0105 DNS lub usuni\u0119ciem domeny.<\/p>\n

R\u00f3wnie\u017c active<\/code> nie jest pe\u0142n\u0105 ocen\u0105 bezpiecze\u0144stwa. Znaczenie maj\u0105 procedury rejestratora, uwierzytelnianie i inne zabezpieczenia. Opublikowan\u0105 dat\u0119 wyga\u015bni\u0119cia nale\u017cy por\u00f3wna\u0107 z dokumentacj\u0105 umowy i odnowienia danej domeny; samo pole nie potwierdza automatycznego odnowienia ani dok\u0142adnej daty usuni\u0119cia.<\/p>\n

Log CT, wyszukiwarka i dzia\u0142aj\u0105ca us\u0142uga<\/h2>\n

CT umo\u017cliwia publiczn\u0105 kontrol\u0119 wystawiania certyfikat\u00f3w lub precertyfikat\u00f3w. Nowe wpisy mog\u0105 by\u0107 dopisywane, a dotychczasowe maj\u0105 pozosta\u0107 niezmienione. Tak\u0105 histori\u0119 mo\u017cna zweryfikowa\u0107. Przegl\u0105darki stosuj\u0105 w\u0142asne polityki CT: aktualna polityka Chrome rozr\u00f3\u017cnia spos\u00f3b dostarczenia podpisanych znacznik\u00f3w czasu certyfikatu (SCT), okres wa\u017cno\u015bci certyfikatu, stan logu i niezale\u017cno\u015b\u0107 operator\u00f3w. Og\u00f3lne zapewnienie dotycz\u0105ce wszystkich przegl\u0105darek i certyfikat\u00f3w ukrywa\u0142oby te warunki.<\/p>\n

crt.sh<\/code> jest wyszukiwark\u0105 danych certyfikat\u00f3w, a nie wszystkimi logami CT. Kompletno\u015b\u0107 wymaga dowod\u00f3w zakresu r\u00f3wnie\u017c dla ma\u0142ych domen. Awarie, op\u00f3\u017anienia, limity zapyta\u0144 i lokalne ograniczenia rozmiaru mog\u0105 wp\u0142ywa\u0107 na wyniki. Certyfikaty, precertyfikaty i powt\u00f3rzone rekordy wymagaj\u0105 jawnej metody zliczania.<\/p>\n

Du\u017ca liczba certyfikat\u00f3w przy niewielu nazwach mo\u017ce wynika\u0107 z odnawiania, lecz nie dowodzi konkretnej cz\u0119stotliwo\u015bci. Nazwa w certyfikacie nie potwierdza aktualnego wpisu DNS ani dzia\u0142aj\u0105cego hosta. Stara maksymalna data wyga\u015bni\u0119cia w pobranym podzbiorze r\u00f3wnie\u017c nie dowodzi braku nowszego certyfikatu.<\/p>\n

Rzeczywisty zakres narz\u0119dzia<\/h2>\n

Narz\u0119dzie RDAP i Certificate Transparency<\/a> odpytuje rdap.org i pr\u00f3buje WHOIS, gdy nie uzyska u\u017cytecznej odpowiedzi. Dane CT pochodz\u0105 z crt.sh. Implementacja sprawdzona 25 pa\u017adziernika 2026 ogranicza pobranie CT do 3 MiB i zwraca najwy\u017cej 150 nazw. Sortowanie u\u017cywa najwi\u0119kszej znalezionej warto\u015bci not_after<\/code>, a nie ostatniego wpisu logu lub rzeczywistego u\u017cycia us\u0142ugi.<\/p>\n

Cztery izolowane testy wykaza\u0142y istotne ograniczenia: wyniki zawieraj\u0105ce wy\u0142\u0105cznie obce nazwy mog\u0105 nadal dawa\u0107 dodatni\u0105 liczb\u0119 certyfikat\u00f3w; certyfikat z przysz\u0142ym pocz\u0105tkiem wa\u017cno\u015bci mo\u017ce by\u0107 policzony jako \u201eaktywny\u201d i \u201enowy\u201d; nawet brak obu \u017ar\u00f3de\u0142 mo\u017ce dawa\u0107 ocen\u0119 og\u00f3ln\u0105 \u201edobry\u201d. Wynik nie zast\u0119puje wi\u0119c walidacji certyfikatu ani kontroli kompletno\u015bci. \u201eZapomniana\u201d nazwa oznacza jedynie obserwacj\u0119 dat w pobranym fragmencie, nie dow\u00f3d porzucenia us\u0142ugi.<\/p>\n

\n

Pytania i odpowiedzi<\/h2>\n

Czy certyfikat wildcard zapobiega ujawnieniu wewn\u0119trznych nazw?<\/h3>\n

Certyfikat dla *.example.com<\/code> mo\u017ce ujawnia\u0107 wzorzec zamiast konkretnych host\u00f3w; dodatkowe jawne nazwy zapisane w certyfikacie pozostaj\u0105 widoczne. Zgodnie z typowymi regu\u0142ami identyfikacji TLS wzorzec obejmuje jeden dodatkowy poziom: na przyk\u0142ad shop.example.com, ale nie a.b.example.com. Osobne certyfikaty wildcard mog\u0105 u\u017cywa\u0107 r\u00f3\u017cnych kluczy. Dopiero ponowne u\u017cycie tego samego certyfikatu i klucza rozprowadza ten materia\u0142 kluczowy po wielu systemach.<\/p>\n

Czy prywatny urz\u0105d certyfikacji gwarantuje tajno\u015b\u0107 nazw?<\/h3>\n

Prywatny urz\u0105d poza publicznym zaufaniem zwykle nie wymaga publicznego logowania CT. Nie zapobiega to ujawnieniu nazw przez DNS, konfiguracj\u0119 lub inne kana\u0142y. Docelowe urz\u0105dzenia wymagaj\u0105 w\u0142a\u015bciwej konfiguracji zaufania. Ochrona dost\u0119pu nie mo\u017ce opiera\u0107 si\u0119 wy\u0142\u0105cznie na nieznanej nazwie.<\/p>\n

Czy stary wpis CT dowodzi mo\u017cliwo\u015bci przej\u0119cia subdomeny?<\/h3>\n

Nie. Sprawdzenia wymagaj\u0105 aktualne przypisanie DNS, w\u0142asno\u015b\u0107 zasobu docelowego i zasady dostawcy. Osierocony CNAME to alias DNS, kt\u00f3rego cel nie jest ju\u017c przypisany do zamierzonej us\u0142ugi. Mo\u017ce by\u0107 gro\u017any, gdy inny podmiot mo\u017ce ponownie zaj\u0105\u0107 cel; cz\u0119\u015b\u0107 dostawc\u00f3w blokuje przypisanie domeny przez weryfikacj\u0119 w\u0142asno\u015bci. Zmiany we w\u0142asnych rekordach DNS powinny nast\u0119powa\u0107 po uzgodnieniu z odpowiedzialnymi us\u0142ugami. CT dostarcza kandydat\u00f3w do kontroli, a nie dowodu przej\u0119cia.<\/p>\n<\/div>\n

\n

\u0179r\u00f3d\u0142a<\/h2>\n