Websites herunterladen, die Sectigo nutzen

Über Sectigo

Fast jede Technologie auf einer Website wählt jemand aus, der an dieser Website arbeitet. Bei einer Zertifizierungsstelle ist das häufig nicht so. Sectigo taucht in der Kette des TLS-Zertifikats einer Website auf, und bei einem großen Teil dieser Websites kam das Zertifikat im Paket mit einem Hosting-Tarif, einem Reseller-Angebot oder einer Verwaltungsoberfläche, die im Namen des Kunden ausstellt, ohne ihm je eine Markenwahl anzubieten.

Die Erkennung ist hier ungewöhnlich belastbar, was erwähnenswert ist, denn das meiste Stack-Fingerprinting beruht auf Schlussfolgerungen. Die Ausstellung eines Zertifikats hinterlässt im Handshake einen signierten Nachweis. Ein erfasster Aussteller ist deshalb etwas, das der Server tatsächlich vorgelegt hat, und nicht etwas, das aus dem Dateinamen eines Skripts erraten wurde. Die Einschränkung ist anderer Art: Wir sehen das Zertifikat, das zum Zeitpunkt des Crawls für einen Hostnamen ausgeliefert wird, nicht den Vertrag dahinter, und ein einziges kommerzielles Konto kann sehr viele Hostnamen abdecken, die anderen gehören.

Stand Oktober 2026 zählen wir 1.875.798 Websites. 659.120 davon verorten wir in Deutschland, und die Endung .com ist im Domain-Mix stark vertreten. Das Gewicht Deutschlands lohnt einen zweiten Blick, denn dahinter steckt keine deutsche Begeisterung für eine Zertifizierungsstelle aus New Jersey. Europäische Hosting-Gruppen bieten die Marke als ihr kostenpflichtiges Standardzertifikat an. Die Länderspalte ist deshalb eher eine Karte der Hoster und der Zertifizierungsstellen, die sie bündeln, als eine Karte der Endkundennachfrage.

Das Unternehmen geht unter einem früheren Namen auf das Jahr 1998 zurück und wurde nach einem Eigentümerwechsel umbenannt, weshalb ältere Dokumentation und manche Zertifikatsketten noch von Comodo sprechen. Branchenweit werden die Laufzeiten von Zertifikaten seit einiger Zeit kürzer, und kürzere Laufzeiten verändern den kommerziellen Charakter der installierten Basis. Ein Content-Management-System wird einmal gewählt und bleibt jahrelang im Einsatz. Über ein kostenpflichtiges Zertifikat wird in festen Abständen neu entschieden, und an jeder Zeile dieser Liste hängt ein Ablaufdatum.

Das Angebot steht unter der Lizenz Proprietary und gehört bei uns zur Kategorie SSL/TLS certificate authorities, und aus diesen beiden Tatsachen ergibt sich die kommerzielle Logik. Konkurrierende Zertifizierungsstellen und ihre Reseller wollen das Verlängerungsfenster und die Hosting-Partner, die es steuern. Anbieter von Enterprise-PKI wollen die Kunden, die groß genug sind, um von der manuellen Verlängerung zu einem Zertifikatsmanagement übergegangen zu sein. Teams für Angriffsflächen- und Asset-Management wollen die umgekehrte Sicht und suchen im eigenen Bestand nach Hostnamen, die Zertifikate einer Zertifizierungsstelle vorlegen, die niemand im Sicherheitsteam ausgewählt hat, was einer der üblichen Wege ist, auf denen vergessene Infrastruktur zum Vorschein kommt.

Ein Snapshot lässt sich nur begrenzt ausreizen. Ein Crawl sieht das Zertifikat, das für den angefragten Hostnamen vorgelegt wird. Multi-Domain- und Wildcard-Zertifikate sind daher durch die Hostnamen vertreten, die wir erreicht haben, nicht durch jeden Namen auf dem Zertifikat. Websites hinter einem Content-Delivery-Network können statt des Zertifikats des Ursprungsservers das des Netzwerks vorlegen, wodurch der Aussteller ganz aus dem Blick gerät. Die kostenlose automatisierte Ausstellung hat die Struktur dieses Marktes verändert und verändert sie weiterhin, sodass ein einzelner Snapshot einen Moment beschreibt und keinen Trend.

Eine Prüfung pro Domain zeigt Ihnen den Aussteller für einen Hostnamen, und das erledigt ein Browser kostenlos. Der Datensatz beantwortet, was eine Einzelabfrage strukturell nicht beantworten kann: wie sich die Ausstellung über einen nationalen Markt verteilt, bei welchen Hostern welche Zertifizierungsstelle verbreitet ist, welche Branchen noch für validierte Zertifikate bezahlen, statt kostenlose zu nehmen, und welcher Teil einer Verschiebung im vergangenen Jahr zulasten einer einzigen Marke ging. Fragen dieser Art sind Zählungen über einen Bestand, und der Download liefert diesen Bestand mit Land, Endung und dem übrigen erkannten Stack in derselben Zeile.