证书策略 （Certificate Policy，CP）

这个词有两层相关含义。作为文档，证书策略规定 CA 签发某类证书必须满足的要求，通常按 RFC 3647 框架编排，回答“要做到什么”；而 CPS 回答“具体怎么做”。在证书内部，证书策略（Certificate Policies）扩展列出若干策略 OID，还可以附带指向 CPS 的限定符，告诉依赖方这张证书是按哪套规则签发的。

为什么重要

策略 OID 是判断证书验证级别最可靠的依据。CA/浏览器论坛保留的 OID 为：2.23.140.1.2.1 表示域名验证（DV），2.23.140.1.2.2 表示组织验证（OV），2.23.140.1.2.3 表示个人验证（IV），2.23.140.1.1 表示 EV，分别对应 Baseline Requirements 或 EV 指南。浏览器曾依据 EV OID 在地址栏显示公司名称，Chrome 77 起已取消，但这些 OID 仍被各类工具和审计用来区分 DV、OV、EV。在云厂商购买 OV 或 EV 证书后，也可以用它核对拿到的是否确实是所购买的验证级别。

例子

openssl x509 -in cert.pem -noout -ext certificatePolicies

X509v3 Certificate Policies:
    Policy: 2.23.140.1.2.1

这个输出说明这是一张 DV 证书。

常见误区

• CP 和 CPS 是同一份文档。 CP 提出要求，CPS 描述某家 CA 的实际做法；很多 CA 把两者合并发布，更容易让人混淆。
• 策略 OID 会影响加密强度。 它只说明 CA 遵循了哪套规则，与密码学算法无关。