证书事件关联
证书更换怎样关联到对应域名事件
使用事件ID连接证书观察而不推定所有权延续。 本文给出可复核步骤、状态边界、脱敏记录方法与复核路径。
证书观察和域名观察回答不同问题。前者记录某次连接中浏览器呈现的名称范围、有效期与指纹引用，后者记录完整主机在何时被看到。把两者连在一起有助于复盘一次事件，却不能据此推定所有权延续。正确的关联方式是使用事件号和实验号：证书行指向产生它的域名观察，域名事件只显示已有证书材料的引用，不把证书字段复制成自身属性。
建立关联前必须确认时间和对象处于同一次采集。旧截图中的证书不能自动配给今天的主机，另一个标签页取得的字段也不能因为名称相似就合并。若证书面板未完整展开、当前主机被裁切或设备时间未知，连接关系写UNKNOWN，材料仍可保留为待核。本文关注证据如何相接，不评价页面身份，也不把安全连接图标当作信誉标志。
两类事件各自保存原始责任
域名事件包含主机原文、规范化值、观察时刻、来源介质和环境；证书事件则保存证书指纹的脱敏引用、SAN条目摘要、签发对象文字、起止日期、浏览器告警及截图时间。证书表不承担主机首次出现的判断，域名表也不解释证书是否可信。分开建账可以在证书变化而主机不变时保住两条真实时间线。
关联字段只存对方事件号、关系类型和建立关系的依据。关系类型可分同次观察、后补证据、时间相邻和无法确认。只有同次观察能够说明两个字段来自同一实验；时间相邻只是一条检索线索。若一个证书截图没有地址栏，编辑不能从SAN列表选择看起来最像的主机来补关系。
- 域名与证书分表保存
- 关系类型明确可解释
- 同次实验拥有共同编号
- 裁切材料不猜关联
用共同实验号锁定采集上下文
一次实验从读取完整地址开始，随后打开浏览器连接信息，再记录证书字段，最后返回页面确认主机没有在过程中改变。四个动作使用同一个实验号，每一步另有时间戳。若查看证书时页面已经跳往别处，实验立即分段：前一主机的证书结果为UNKNOWN，后一主机建立新的域名观察，不把面板内容跨段引用。
环境摘要包括设备时钟来源、浏览器主版本、网络类型和是否存在代理。它不需要记录设备序列号、账户或完整IP。复核者应能根据摘要理解字段来自何种条件，却无法识别个人。连接面板若只显示部分SAN，可在状态栏写未展开完整范围；不能将未见条目记为不存在，也不能用别处抄来的证书信息补齐。
- 采集动作共享实验号
- 跳转发生即拆分实验
- 环境摘要不含个人标识
- 未展开字段保持UNKNOWN
时间顺序决定可关联范围
证书截图时间应落在域名观察的实验窗口内。窗口从首次读取地址到离开页面或主机变化为止，而不是任意设置的整天范围。若截图晚于窗口，只能作为后补材料，复核时必须重新确认主机。设备时钟没有可信校准时，两个本地时间看似接近也不能证明同次采集，关系状态降为待核。
对于历史导入，编辑保留文件中的原始时间和导入时间，两者分栏。文件修改日期不能替代采集时刻；聊天发送时间只能说明材料何时被收到。若无法恢复原实验顺序，证书事件可以独立存在，但域名事件页不展示它为已关联。这样虽然留下空缺，却避免一张旧图改变当前时间线。
- 实验窗口有清楚起止
- 文件时间不冒充采集时间
- 后补材料需要重核主机
- 历史顺序不明则不连接
SAN覆盖只作为字段关系记录
关联后可以比较当前主机是否落在所见SAN范围内。比较需逐标签进行，通配符按其层级解释，并保留原始条目摘要。结果使用覆盖、未覆盖或UNKNOWN；浏览器未显示完整列表、国际化编码无法确认或主机包含未解析字符时选择第三种。覆盖结果说明名称匹配，不说明页面主体、内容质量或服务归属。
多名称证书很常见，台账只保留与当前主机有关的条目和条目总数，不公开无关主机清单。若需要复核全部范围，证据存储设置受限访问并记录查看理由。证书更换后，新事件引用相同域名观察的后续样本；旧指纹不删除，也不因为新证书出现就写成运营方延续。
- 覆盖比较逐标签完成
- 通配符层级不扩大
- 无关SAN不公开罗列
- 新证书不证明主体延续
用合成关联演练避免误接
合成实验可设域名事件E十二和证书事件C三。两者共享实验R八，截图时间相隔四十秒，地址在前后核对一致，于是关系记同次观察。第二张证书图C四来自次日，虽然主机文本相同，却应关联次日的观察行而非直接附在E十二首次记录上。字母与编号仅用于检查数据库关系，不代表实际对象。
再设一个反例：证书图含SAN摘要，却没有地址栏，也没有实验号；文件名写着某品牌词。编辑创建C五，主机关系填UNKNOWN，并列出待补项为完整画面、采集时间和环境。不能因文件名和SAN中的相似字符串选定域名事件。若后来找到原始录像，通过新的补证关系连接，而不是改写C五的初始状态。
- 同次关系由共同实验支持
- 次日证据关联次日观察
- 文件名不提供身份依据
- 补证采用新增关系
关联页面要保留双向追溯
域名事件页显示相关证书事件号、观察时间和关系强度；证书页反向显示当时主机、域名观察行和实验范围。点击关系进入站内详情，不复制长证书字段。若关系被撤回，两边都出现撤回标记和原因，旧链接仍能查看历史。这样可以防止一个页面更新后另一个页面继续展示过期连接。
列表筛选允许查看未关联证书、存在覆盖差异或等待补证的记录。筛选结果不能被命名为有效证书列表，因为台账没有做全面信任评估。结构化数据只描述文章和编辑记录，不输出证书状态断言。页面摘要引用某次覆盖观察时，必须同时显示主机、时间和证据范围。
- 关联在两端均可查看
- 撤回同步显示原因
- 筛选名称不扩大结论
- 摘要携带对象与时间
审核关联时拒绝身份推断
审核者先核对共同实验号、窗口时间、主机前后值和证书截图完整度，再重做一次SAN覆盖比较。任何一步不一致，就把关系从同次观察降级为UNKNOWN，并记录冲突。审核还要检查证书事件是否误写成当前、唯一或授权证明；发现此类语言应删除断言，保留可见字段。
这项方法只让两条证据链在有限时刻相遇。它不保证连接持续，不判断页面归属，也不提供可访问目标。若浏览器显示名称不匹配、信任链警告或要求绕过保护，采集者停止操作，只保存脱敏提示和退出时刻。安全停止事件可以引用域名与证书记录，但不会被转成风险分数或真假裁决。
- 审核重做覆盖比较
- 冲突关系降为UNKNOWN
- 证书字段不转成身份断言
- 浏览器警告触发退出
