Cloudflare 今天把 Certificate Transparency Monitoring 从公测转成了正式可用，作者是 Pravallika Nakarikanti 和 Jenny Yang，原文标称 8 分钟阅读。这个功能 2019 年就上线公测了，七年后转正，博客里写的最主要变更只有一条：告警之前，先把 Cloudflare 自己签发的证书滤掉。
听起来像个配置项。我读完觉得不是，中间那段找 key 的过程比结论有意思。
噪音是自己制造的
CT 监控的原理很直白。有人给你的域名签了张 TLS 证书，这张证书会进公开的 CT 日志，Cloudflare 扫到就发邮件通知你。误签、被冒签，你能第一时间知道。目前这个功能开在超过 65 万个客户域名上。
问题在于，Cloudflare 本身就是那个大量签证书的人。Universal SSL 续期、Advanced Certificate Manager 签的证书、备份证书，全都要写进公开日志，因为不进日志的证书 Chrome 和 Safari 根本不认。于是同一套透明机制，一边帮你发现误签，一边把 Cloudflare 每次例行续期都推到你邮箱里。
续期还很频繁。按 Cloudflare 自己的文档，一张 Universal SSL 证书最短 60 天就会续一次，一年最多六次左右。而 CA/Browser Forum 已经投票决定，到 2029 年把证书最长有效期压到 47 天，这个频率只会更高。
博客里引了社区论坛上一位用户的话，说自己在所有站点上把这个功能关了，因为”被大量完全正常的证书续期刷屏刷烦了”，还补了句到后来根本不读了。这条引用我觉得放得很实在，一个安全告警被用户主动关掉，比任何指标都能说明问题。
显而易见的修法为什么不行
想法很自然：签发系统知道哪些证书是自己签的，告警系统查一下不就行了。
卡点在于两个系统本来就是分开的。证书签发那套管的是内部签发数据，CT 告警那套管的是从公开日志里扒出来的数据。告警系统在决定要不要发邮件的那一刻，手里只有日志里的东西，没有任何来自签发侧的信号。
告警侧原本有个去重用的标识叫 stripped_fingerprint，是 DER 编码的 TBSCertificate 的哈希。它存在的原因是一次签发在日志里会出现两条记录：CA 先造预证书写进日志拿到 SCT，再把 SCT 嵌进最终证书重新写一遍。这个指纹对同一订单的预证书和最终证书是一致的，正好用来避免一次签发发两封邮件。
那把这个指纹同步给签发系统不就完了？不行。签发系统压根收不到预证书，它算不出这个值。等它拿到最终证书才能记下来，可告警系统看到预证书那条日志的时刻早就过去了。在这个时间窗里查库，查不到记录，照样多发一封。
我挺喜欢原文对这里的描述：问题不在于把指纹存在哪，而在于哪个标识能从下单一路活到最终入库。
换成公钥
Cloudflare 最后选的 key 是公钥，具体说是 SubjectPublicKeyInfo 结构。它满足四个条件：在任何东西进日志之前就存在（生成密钥时就有），从预证书到最终证书全程不变，告警侧能从日志条目里独立重算，而且对每次签发唯一。
落地的字段叫 spki_sha256，DER 编码 SPKI 的 SHA-256，定长、好建索引。签发服务直接从 CSR 上算出来，在生成密钥阶段就写库。告警服务看到日志条目，自己重算一遍去查：匹配上就是自家的，静默；查不到就照旧发邮件。
唯一性靠的是 Cloudflare 每次签发都新生成密钥对，私钥只有它自己有，所以 SPKI 对得上的证书必然出自它的签发流程。这里的安全假设是清楚的：外人拿不到私钥，就伪造不出能匹配的签名请求。
因为预证书和最终证书里的公钥完全相同，谁先到日志已经无所谓了。前面那个竞态直接消失，不是靠加锁或者重试解决的，是靠换了个更早生成的标识。
落到用户这边
改完之后有三个变化。Universal SSL、Advanced Certificate Manager、Total TLS、备份证书都能匹配上记录，不再告警。签到一半被放弃的预证书以前看着像来路不明的证书，现在也能匹配上，Cloudflare 那边仍然记录，只是不发邮件。自己上传的自定义证书还是会告警，因为密钥不是 Cloudflare 生成的，没有记录可匹配。
最后这条是关键。过滤的边界画在”密钥是不是我们生成的”上，而不是画在”域名是不是你的”上，所以真正需要盯的那一类事件一个都没少。
邮件本身也改了：主题行带上受影响的主机名，正文带证书详情，附一个跳到 dashboard 的链接。下一步计划是接进 Cloudflare Notifications，这样 CT 告警能走 webhook 和 PagerDuty，不再只有邮件一条路。
已经开着这个功能的不用动，过滤已经生效。没开的在 dashboard 里走 SSL/TLS → Edge Certificates → Certificate Transparency Monitoring 打开，所有套餐都能用，不额外收费。