I certificati TLS sono credenziali digitali usate per dimostrare l'identità di un server durante connessioni TLS crittografate. Contengono chiavi pubbliche e metadati come il nome del dominio, l'emittente, il periodo di validità e talvolta dettagli sull'organizzazione. Browser e app li usano per decidere se una connessione sicura debba essere considerata affidabile.
Nel campo della sicurezza informatica, i certificati TLS sono importanti sia per la difesa sia per il rilevamento. Gli aggressori ne hanno bisogno per far sembrare legittimi siti di comando e controllo e pagine di accesso, e possono riutilizzare lo stesso certificato, la stessa catena di certificazione o lo stesso schema di emissione su più server. Questo riutilizzo può aiutare gli analisti a raggruppare infrastrutture che altrimenti sembrano separate. I difensori esaminano impronte digitali dei certificati, subject ed elementi SAN per individuare hosting condiviso, pannelli gestiti dagli aggressori o domini ruotati rapidamente. Un certificato non dimostra che un sito sia sicuro, ma spesso lascia una traccia riutilizzabile che aiuta a mappare reti malevole.