用途：监控 Certificate Transparency（CT）日志，发现未授权或异常证书签发、通过 CT 数据发现子域名与隐藏服务、识别使用仿冒域名证书（typosquatting、同形异义攻击）的钓鱼基础设施，并审计 CA 是否按浏览器策略将证书写入 CT 日志。
主要能力：用 crt.sh JSON API（https://crt.sh/?q=%.example.com&output=json）拉取历史证书并建立基线库；定期轮询新证书、解析 SAN、签发链、有效期、密钥类型与 SHA-256 指纹；识别 precertificate 作为早期预警；监控 CT 日志 Signed Tree Head 并验证一致性证明；从 CT 数据提取子域名并做 DNS 验证；生成仿冒域名排列并查询；按未授权 CA、新子域名、新通配符证书、短有效期异常、临近过期等规则告警，支持邮件、Slack、PagerDuty 或 SIEM JSON 日志。
使用方式：需 Python 3.10+ 及 requests、cryptography、pyOpenSSL，能访问 crt.sh 与公共 CT 日志服务器，准备待监控域名列表和告警通道。流程为：建立域名与证书基线、识别授权 CA、持续轮询、子域名发现与 DNS 校验、配置告警、验证日志完整性并输出报告。也可订阅 crt.sh Atom 源（https://crt.sh/atom?q=%25.example.com）做轻量监控。
适用场景：金融等机构检测未授权签发、攻击面测绘、CA 合规审计、PCI-DSS/SOC 2 等合规取证。
限制：不得用于攻击或干扰 CA、不得违反速率限制或服务条款抓取 CT 日志；不应作为唯一子域名枚举手段，需 DNS 验证佐证。需注意 crt.sh 限流与 429 退避，避免因基线未更新而误报正常续期。