证书类型是什么
公共 CA 签发的证书按身份核验深度分三档：DV（Domain Validation）只验证申请者对域名的控制权；OV（Organization Validation）额外核验申请组织的真实存在与登记信息；EV（Extended Validation）执行更严格的核验与流程审计。三者的加密强度完全相同，差别在身份验证深度、责任约定与采购合规要求上。浏览器地址栏已不再为 EV 展示特殊样式，选择依据应回到业务与合规本身。
基本信息
| DV | 仅验证域名控制权，可自动化签发，成本最低，广泛用于常规站点与 API |
|---|---|
| OV | 证书主体包含组织信息，签发前核验组织材料 |
| EV | 更严格的核验与审计流程，部分金融与政企采购仍明确要求 |
| 加密强度 | 三档一致，与证书类型无关 |
| 有效期趋势 | 公共 CA 的证书有效期上限持续收紧，续期自动化越来越重要 |
典型使用场景
- 面向公众的网站与开放 API：DV 通常足够，重点是配合自动化续期
- 需要展示主体身份的政企与金融业务：按合同或采购条款选 OV 或 EV
- 邮件签名与代码签名：核验对象是组织而非域名，要选对应类型
- 安全审计与供应链管理：把证书类型作为合规证据留档
- 采购评审中回答「EV 是否更安全」：加密强度不因类型变化，钱花在核验流程上
查看证书主体与签发者
查看证书主体与签发者
openssl x509 -in cert.pem -noout -subject -issuer # 主体与签发者
openssl x509 -in cert.pem -noout -text | grep -A2 'Subject:' # 看是否含组织字段
openssl x509 -in cert.pem -noout -text | grep -i 'policy' # 观察证书策略 OID
# 从网页直接取当前证书做同样的核对
# openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null | openssl x509 -noout -subject三档证书对比
| 类型 | 核验内容 | 常见用途 |
|---|---|---|
| DV | 域名控制权 | 通用网站、API、自动化签发 |
| OV | 域名 + 组织真实性 | 企业门户、对外服务 |
| EV | 更严格核验与审计 | 金融、政企采购要求的场景 |
| 自签 / 私有 CA | 无第三方核验 | 内网服务、mTLS 客户端证书 |
证书类型既不影响 TLS 加密强度，也不再体现在浏览器地址栏样式上。真正决定安全水平的是私钥保护、协议与套件配置、证书链是否完整。采购决策应以合同与合规条款为准，而不是以「看起来更高级」为准。