Cloudflare hat seine Funktion Certificate Transparency Monitoring am 13. August 2026 für alle verfügbar gemacht. Wenn Sie eine Website auf Cloudflare betreiben, hilft Ihnen dieses Update dabei, unbefugte Sicherheitszertifikate zu erkennen. Sie müssen sich nicht mehr mit endlosen Warn-E-Mails herumschlagen.
Sie können die Ankündigung im Blogbeitrag Cloudflare — Certificate Transparency Monitoring is now generally available nachlesen.
So funktioniert der Rauschfilter
Certificate-Transparency-Protokolle zeichnen jedes im Web ausgestellte SSL-Zertifikat auf. Die Überwachung dieser öffentlichen Protokolle hilft Ihnen, unberechtigte Zertifikate schnell zu erkennen. Routinemäßige Verlängerungen können alle 60 Tage vorkommen. Das füllt schnell Ihren Posteingang.
Cloudflare behebt dies mit einem integrierten Filter. Er stoppt Warn-E-Mails für Zertifikate, die für Sie verwaltet werden:
– Universal SSL
– Advanced Certificate Manager
– Total TLS
– Backup Certificates
Externe Zertifikate und von Kunden hochgeladene benutzerdefinierte Zertifikate lösen weiterhin Benachrichtigungen aus. Um interne und externe Zertifikate zu unterscheiden, prüft Cloudflare einen Public-Key-Hash namens spki_sha256. Die Plattform erstellt diesen Hash während des Ausstellungsprozesses. Anschließend gleicht sie den Hash mit eingehenden Protokolleinträgen ab.
Aussagen des Anbieters, die Sie beachten sollten
Cloudflare gibt an, dass die Funktion für über 650.000 Kundendomains in allen Tarifen aktiv ist. Es fallen keine zusätzlichen Kosten an. Diese Zahlen und Angaben zur Filterung stammen direkt aus der Ankündigung von Cloudflare selbst. Niemand außerhalb des Unternehmens hat ein unabhängiges Audit durchgeführt, um auf übersehene Zertifikate oder falsch-negative Ergebnisse zu prüfen. Ein ruhiger Posteingang ist kein Beweis dafür, dass Ihre Domain sicher ist. Behandeln Sie jede nicht unterdrückte Warnung als Hinweis, dem nachgegangen werden sollte, und nicht als endgültigen Beweis für eine Kompromittierung.
Was noch fehlt und was Sie als Nächstes ausprobieren können
Derzeit kommen Warnungen nur per E-Mail an. Laut Cloudflare sind Integrationen für Webhooks, PagerDuty und das zentrale Notifications-System für die Zukunft geplant. Das hinterlässt eine Lücke für Teams, die eine sofortige Eskalation benötigen.
Für bestehende Nutzer ist der Filter bereits aktiviert. Wenn Sie eine neue Domain hinzufügen, finden Sie den Schalter unter SSL/TLS → Edge Certificates → CT Monitoring.
Sie können das System auch selbst testen. Nehmen Sie eine Test-Domain mit zwei Subdomains. Stellen Sie ein Zertifikat über Cloudflare und ein weiteres über eine externe Zertifizierungsstelle aus. Prüfen Sie anschließend Ihren Posteingang. Überprüfen Sie, ob Cloudflare die interne Verlängerung stummschaltet, während für die externe eine Warnung gesendet wird.