Cloudflare đã chính thức cung cấp tính năng Certificate Transparency Monitoring cho tất cả người dùng vào ngày August 13, 2026. Nếu bạn đang vận hành một trang web trên Cloudflare, bản cập nhật này sẽ giúp bạn phát hiện các chứng chỉ bảo mật trái phép mà không phải nhận email cảnh báo liên tục.
Bạn có thể đọc thông báo chi tiết trong bài viết Cloudflare — Certificate Transparency Monitoring is now generally available trên blog.
Cách bộ lọc hoạt động
Nhật ký Certificate Transparency ghi lại mọi chứng chỉ SSL được phát hành trên web. Việc giám sát các nhật ký công khai này giúp bạn nhanh chóng phát hiện các chứng chỉ giả mạo. Các đợt gia hạn định kỳ có thể diễn ra thường xuyên mỗi 60 days, điều này nhanh chóng làm đầy hộp thư đến của bạn.
Cloudflare giải quyết vấn đề này bằng một bộ lọc tích hợp sẵn. Bộ lọc sẽ dừng gửi email cảnh báo đối với các chứng chỉ do Cloudflare quản lý cho bạn:
– Universal SSL
– Advanced Certificate Manager
– Total TLS
– Backup Certificates
Các chứng chỉ bên ngoài và chứng chỉ tùy chỉnh do khách hàng tải lên vẫn sẽ kích hoạt cảnh báo. Để phân biệt chứng chỉ nội bộ và bên ngoài, Cloudflare kiểm tra mã băm khóa công khai gọi là spki_sha256. Nền tảng sẽ tạo mã băm này trong quy trình cấp phát, sau đó đối chiếu mã băm với các mục nhật ký mới được ghi nhận.
Những tuyên bố từ nhà cung cấp bạn cần lưu ý
Cloudflare cho biết tính năng này đang hoạt động trên hơn 650,000 tên miền của khách hàng trên tất cả các gói dịch vụ mà không tính thêm phí. Những số liệu và khẳng định về khả năng lọc này đến trực tiếp từ thông báo của Cloudflare. Chưa có bên thứ ba nào thực hiện kiểm toán độc lập để kiểm tra các chứng chỉ bị bỏ sót hay trường hợp âm tính giả. Hộp thư đến yên ắng không phải là bằng chứng cho thấy tên miền của bạn đã an toàn. Hãy xem mọi cảnh báo không bị chặn là một manh mối cần điều tra, chứ không phải bằng chứng cuối cùng về việc bị xâm phạm.
Những điểm còn thiếu và các bước tiếp theo
Hiện tại, các cảnh báo chỉ được gửi qua email. Cloudflare cho biết các tính năng tích hợp cho webhooks, PagerDuty và hệ thống Notifications trung tâm đang được lên kế hoạch cho tương lai. Điều này tạo ra khoảng trống cho các đội ngũ cần quy trình xử lý khẩn cấp ngay lập tức.
Người dùng hiện tại đã được bật sẵn bộ lọc. Nếu bạn đang thêm một tên miền mới, bạn có thể tìm thấy nút bật/tắt tại SSL/TLS → Edge Certificates → CT Monitoring.
Bạn cũng có thể tự mình kiểm tra hệ thống. Hãy sử dụng một tên miền thử nghiệm với hai tên miền phụ. Phát hành một chứng chỉ thông qua Cloudflare và một chứng chỉ khác thông qua tổ chức cấp chứng chỉ bên ngoài. Sau đó, kiểm tra hộp thư đến để xác nhận rằng Cloudflare không gửi cảnh báo cho đợt gia hạn nội bộ trong khi vẫn gửi cảnh báo cho chứng chỉ bên ngoài.