Certificate Watcher Autor: QuadroOctopus

Браузер предупреждает только тогда, когда не знает сертификат вовсе, - и молчит, если сайт, который вы посещаете каждый день, вдруг начал использовать другой сертификат. Certificate Watcher следит именно за этим.

Расширение ведёт локальную базу TLS-сертификатов всех посещаемых вами сайтов (по одной записи на домен, например example.com). Если на знакомом вам сайте внезапно появляется сертификат с другим публичным ключом, показывается полноэкранный алерт (или баннер - на ваш выбор) с таблицей «было → стало» (SHA-256, издатель, SPKI-пин, субъект) и напоминанием ещё раз проверить домен.

Что показывает

• Показатель знакомства (0–100). Растёт с тем, как давно вы пользуетесь сайтом, как часто его посещаете и как долго принятый сертификат оставался неизменным. На иконке в тулбаре - значение и цвет: от серого (новый сайт) через зелёный к тёмно-зелёному (давний сайт). Страницы без HTTPS отмечаются красным. Показатель отражает только вашу собственную историю посещений. Это не оценка безопасности: высокий показатель не означает, что сайт безопасен или легитимен.
• Детекция смены сертификата. Сертификаты сравниваются по SPKI-пину (SHA-256 от SubjectPublicKeyInfo). Рутинный перевыпуск того же ключа является «тихим обновлением», алерта показан не будет. Настоящая смена ключа вызывает алерт с деталями «было → стало».
• Пометка о смене CA. Смена центра сертификации помечается отдельно в алерте.
• Решение за вами. Из алерта можно принять новый сертификат, сбросить счётчик, посмотреть подробности или заморозить текущий пин. Смены сертификата часто безобидны (перевыпуск, ротация ключа, смена CDN или хостинга) - алерт это лишь повод перепроверить сайт, а не вердикт.

Возможности

• Полноэкранный алерт (или баннер) с деталями «было → стало»
• Popup: показатель знакомства с объяснением простыми словами («Вы пользуетесь этим сайтом уже N дн.…»), карточка сертификата, последние 10 смен сертификата, график посещений
• Уведомление о скоро истекающем сертификате (менее 14 дней)
• Настройки: политика при смене CA, хранение DER, тихие домены, per-host режим, язык интерфейса (Русский / English), тёмная тема и др.
• Экспорт/импорт настроек в JSON

Что расширение НЕ делает

• Не проверяет, легитимен ли сайт, безопасен ли он или «официален».
• Не детектит фишинг и вредоносное ПО, не блокирует и не изменяет трафик.
• Не может «поймать» сайт, который вам впервые встречается: его единственный сигнал - смена сертификата по сравнению с тем, что вы видели на этом домене раньше.
• Не обращается ни к каким третьим сторонам: никакой телеметрии, никаких серверов, никаких внешних запросов (Public Suffix List встроена в пакет расширения и обновляется только вместе с расширением без внешних запросов).

Если сработал алерт, проверьте адрес сами: ищите опечатки и похожие домены (examp1e.com, mail-[домен].com), сравните детали сертификата из алерта.

Приватность

Всё остаётся на вашем устройстве: база сертификатов, история посещений и настройки хранятся локально (IndexedDB + локальное хранилище браузера). Единственная сетевая активность - чтение TLS-сертификата той страницы, которую вы уже посещаете.

Зачем нужны разрешения

• webRequest (плюс webRequestBlocking в Firefox) - единственный способ прочитать TLS-сертификат посещаемых страниц; в Firefox нужен blocking-listener, чтобы соединение можно было разобрать через webRequest.getSecurityInfo().
• all_urls - расширение должно видеть сертификат любого сайта, который вы посещаете.
• tabs / webNavigation - чтобы знать, какая страница завершила загрузку страницы сайта.
• storage / notifications - локальные настройки и уведомление об истекающем сертификате.
• Content script (только верхний фрейм) - отрисовывает оверлей алерта на странице; ничего не читает и ничего не отправляет.