CT Subdomain Resolver

De CT Subdomain Resolver doorzoekt de openbare Certificate Transparency-logs (CT) op elk subdomein waarvoor een domein een certificaat heeft uitgegeven en herleidt elk ervan vervolgens naar de huidige IPv4/IPv6-adressen. Het levert een kant-en-klare FQDN-lijst en IP-lijst op die je kunt plakken in een firewall of router die expliciete hostnamen of IP's nodig heeft in plaats van een wildcard zoals *.example.com.

Deze tool is afhankelijk van gratis externe ontdekkingsbronnen (Certificate Transparency-logs en passieve DNS) plus live DNS. Door een zoekopdracht uit te voeren erken je dat deze diensten traag, aan snelheidslimieten onderhevig of tijdelijk onbeschikbaar kunnen zijn op het moment dat je zoekt, en dat resultaten een momentopname zijn die kan veranderen.

Waarom het belangrijk is

Veel enterprise- en SaaS-platforms verdelen hun dienst achter de schermen over talloze onvoorspelbare subdomeinen. Wanneer de router of firewall van een klant niet met een wildcard kan matchen, heb je de expliciete FQDN's (en vaak IP's) nodig om toe te staan. Omdat het domein van de leverancier niet van jou is, zijn Certificate Transparency-logs de praktische manier om die hostnamen uit openbare gegevens te enumereren — elk openbaar vertrouwd certificaat wordt gelogd, dus de meeste actieve subdomeinen duiken op.

Voorbeelden

Een klant kan slechts een deel van een SaaS-app bereiken omdat de firewall *.vendor.com toestaat maar de router wildcards negeert — herleid de concrete subdomeinen en voeg ze expliciet toe.
CT-logs onthullen hostnamen die ooit een certificaat hadden, dus de lijst kan afgedankte hosts bevatten (die eenvoudigweg niet zullen herleiden) en kan namen missen die alleen intern zijn of uitsluitend door een wildcard-certificaat worden gedekt.
Bij via een CDN geserveerde leveranciers roteren de herleide IP's en worden ze gedeeld — geef waar mogelijk de voorkeur aan een FQDN-allowlist en voer deze tool periodiek opnieuw uit om nieuwe subdomeinen op te vangen.