# 证书策略是什么？定义、例子与常见误区

> 证书策略（CP）是针对某类证书签发和使用制定的一套命名规则，在证书的证书策略扩展中以 OID 形式引用。

Source: https://ssl.sh/zh/glossary/certificate-policy/
Last updated: 2026-11-10

这个词有两层相关含义。作为文档，证书策略规定 CA 签发某类证书必须满足的要求，通常按 RFC 3647 框架编排，回答“要做到什么”；而 [CPS](https://ssl.sh/zh/glossary/cps/) 回答“具体怎么做”。在证书内部，证书策略（Certificate Policies）扩展列出若干策略 OID，还可以附带指向 CPS 的限定符，告诉依赖方这张证书是按哪套规则签发的。

## 为什么重要
策略 OID 是判断证书验证级别最可靠的依据。CA/浏览器论坛保留的 OID 为：2.23.140.1.2.1 表示域名验证（DV），2.23.140.1.2.2 表示组织验证（OV），2.23.140.1.2.3 表示个人验证（IV），2.23.140.1.1 表示 EV，分别对应 [Baseline Requirements](https://ssl.sh/zh/glossary/baseline-requirements/) 或 EV 指南。浏览器曾依据 EV OID 在地址栏显示公司名称，Chrome 77 起已取消，但这些 OID 仍被各类工具和审计用来区分 DV、OV、EV。在云厂商购买 OV 或 EV 证书后，也可以用它核对拿到的是否确实是所购买的验证级别。

## 例子
```bash
openssl x509 -in cert.pem -noout -ext certificatePolicies
```

```text
X509v3 Certificate Policies:
    Policy: 2.23.140.1.2.1
```

这个输出说明这是一张 [DV 证书](https://ssl.sh/zh/glossary/dv-certificate/)。

## 常见误区
- **CP 和 CPS 是同一份文档。** CP 提出要求，CPS 描述某家 CA 的实际做法；很多 CA 把两者合并发布，更容易让人混淆。
- **策略 OID 会影响加密强度。** 它只说明 CA 遵循了哪套规则，与密码学算法无关。

## 相关术语

- [CPS](https://ssl.sh/zh/glossary/cps/): CPS 即电子认证业务规则，是 CA 公开发布的文件，说明它如何验证申请者、签发和吊销证书以及保护密钥。
- [DV 证书](https://ssl.sh/zh/glossary/dv-certificate/): DV 证书是 CA 只验证申请者对域名的控制权、不核实申请者身份的 TLS 证书，签发快且可以完全自动化。
- [OV 证书](https://ssl.sh/zh/glossary/ov-certificate/): OV 证书是 CA 在验证域名控制权之外，还核实了证书中所写组织真实合法存在的 TLS 证书。
- [EV 证书](https://ssl.sh/zh/glossary/ev-certificate/): EV 证书是按照 CA/浏览器论坛《EV 指南》完成最严格身份审核后签发的 TLS 证书。
- [Baseline Requirements](https://ssl.sh/zh/glossary/baseline-requirements/): Baseline Requirements 是 CA/B 论坛制定的基线要求，规定公开信任的 CA 在验证、签发和吊销 TLS 服务器证书时必须遵守的规则。
- [X.509](https://ssl.sh/zh/glossary/x509/): X.509 是 ITU-T 制定的公钥证书标准格式，其互联网配置规范 RFC 5280 规定了 TLS 所用证书的结构和验证方法。