Scaricare i siti web che utilizzano AWS Certificate Manager

Informazioni su AWS Certificate Manager

Di solito un certificato si legge come prova d’identità. Quello emesso da questo servizio conviene leggerlo piuttosto come prova di un rapporto di fornitura. AWS Certificate Manager non dice nulla dell’azienda che sta dietro il dominio, delle sue dimensioni, del suo mercato o di qualsiasi elemento del suo stack al di sopra del livello di trasporto. Il certificato dice invece che il gestore ha un account presso un determinato fornitore cloud e gli ha affidato emissione e rinnovo.

AWS Certificate Manager rientra nella nostra categoria SSL/TLS certificate authorities, proviene da Amazon Web Services ed emette certificati pubblici dal 2016. Il servizio esiste per togliere il rinnovo dei certificati dall’elenco delle cose che un team operativo può dimenticare, e il fornitore lo presenta come un modo per ottenere certificati sia per i propri servizi integrati sia per carichi di lavoro ibridi e multicloud. È proprio un’ampiezza di questo tipo a delimitare il segnale. Un sito che presenta uno di questi certificati è cliente del fornitore cloud, ma l’endpoint con cui dialoga il browser può essere un load balancer, una distribuzione su rete CDN o un application gateway all’interno di quell’account, così come può essere un container o un host on-premises che si trova altrove.

A ottobre 2026 il certificato compare su 1.750.371 siti. Di questi, 1.282.655 si trovano negli Stati Uniti, e l’estensione .com ricorre in tutta la presenza rilevata, il che corrisponde più o meno al profilo di una piattaforma cloud che vende in tutto il mondo e fattura in un’unica valuta. Le letture geografiche richiedono cautela con qualsiasi servizio cloud, perché il paese che attribuiamo appartiene al sito e al suo pubblico, non alla regione in cui gira il carico di lavoro.

Per un ricercatore, il valore pratico di questo indicatore è che suddivide il web per infrastruttura anziché per intenzione. I fornitori cloud e i loro partner lo usano per trovare account già legati a un concorrente. I team di sicurezza e di conformità lo usano come misura indiretta di dove emissione e rinnovo sono stati centralizzati, il che conta quando la domanda è chi dovrebbe intervenire se un certificato andasse sostituito in tutta fretta. I fornitori di qualsiasi prodotto che gestisca in proprio la terminazione della cifratura, dalle reti di distribuzione ai firewall applicativi fino ai reverse proxy, leggono lo stesso indicatore come segno che la gestione dei certificati è già automatizzata all’interno di una piattaforma rivale.

Il rilevamento ha limiti che vanno dichiarati con chiarezza. I dati sull’emittente sono visibili solo dove completiamo un handshake con l’origine a cui il dominio punta davvero, quindi un sito che si trova dietro un proxy di terze parti presenta il certificato di quel proxy, e il certificato gestito sottostante resta invisibile. I siti che usano il servizio per endpoint interni o privati non lo espongono mai pubblicamente. In questo caso l’errore va nella direzione della sottostima, e nessuno può misurarne l’entità dall’esterno dell’account.

Le ricerche per singolo dominio sono lo strumento sbagliato per questa domanda. Sapere che un dominio presenta un certificato di questo emittente è una curiosità. Sapere quanti siti di un paese, di un’estensione di dominio, di un segmento di settore o dell’elenco clienti pubblicato da un concorrente condividono questa caratteristica significa avere una mappa di mercato, e per costruirla serve l’esportazione completa. Per i cambiamenti nel tempo vale la stessa logica. Due file confrontati a distanza di trimestri mostrano su scala di popolazione la migrazione verso la piattaforma e in uscita da essa, il che è il tipo di prova che regge al confronto con un pubblico scettico. Una casella di ricerca può confermare un’intuizione, ma solo un file con l’intera popolazione può sostenere un numero che si deve difendere.