按验证深度分三级
证书按颁发机构做了多少身份核验来分类：DV 只验证域名控制权，最快也最便宜；OV 额外核验组织身份，证书里会带上组织信息；EV 的审查最严格。三者在加密强度上没有任何区别，区别只在身份背书与保险条款，浏览器也已陆续取消 EV 的地址栏高亮。
基本信息
| 分类依据 | CA 对申请者身份的核验深度 |
|---|---|
| DV 验证方式 | DNS 记录、HTTP 文件或邮件验证，只要证明能控制域名 |
| OV 与 EV | 需要提交营业执照等材料并做人工审核 |
| 加密强度 | 三者完全一致，取决于密钥与协商的套件 |
| 免费证书 | Let's Encrypt 等签发的均为 DV |
类型对照
| 类型 | 验证内容 | 典型场景 |
|---|---|---|
| DV 域名型 | DNS 或文件验证域名控制权 | 个人站、API、自动化签发 |
| OV 组织型 | 额外核验营业执照等组织信息 | 企业官网、对外业务系统 |
| EV 扩展型 | 最严格的组织与法律主体审查 | 金融等高信任要求场景 |
| 通配符与多域名 | 与验证级别无关的覆盖范围属性 | 按域名数量需求选择 |
查看证书里的验证级别线索
查看证书里的验证级别线索
openssl x509 -in cert.pem -noout -subject -issuer
# OV 与 EV 会在 Subject 的 O 或 OU 字段体现组织信息，DV 通常只有 CN
openssl x509 -in cert.pem -noout -text | grep -A2 'Subject:'
openssl x509 -in cert.pem -noout -dates # 核对生效与到期时间
# 检查证书链是否完整
openssl verify -CAfile ca.crt -untrusted chain.pem server.crt典型使用场景
- 面向企业客户的产品按合同要求选 OV 或 EV 证书
- 内部系统与 API 用 DV 加自动化续期，成本与运维负担最低
- 排查「浏览器显示不安全」：先确认证书类型是否与域名匹配、链是否完整
- 采购比价时识别营销话术，避免为不含加密增益的等级多付费用
安全上三者加密强度相同：差别在身份背书与保险条款。浏览器已不再为 EV 特殊展示，把 EV 当成「更安全」属于被营销术语误导。
通配符证书只覆盖一级子域（星号不匹配多级），且与 DV、OV、EV 是正交属性；需要多级子域覆盖时应改用多域名证书或按需拆分。