# DV 证书（域名验证型证书）是什么？定义、例子与常见误区

> DV 证书是 CA 只验证申请者对域名的控制权、不核实申请者身份的 TLS 证书，签发快且可以完全自动化。

Source: https://ssl.sh/zh/glossary/dv-certificate/
Last updated: 2026-11-10

DV（Domain Validated）证书是最基础的公共信任 TLS 证书。CA 签发前只确认申请者确实控制证书里的每个域名，常见方式是在网站指定路径放一个验证文件，或者在 DNS 里添加一条 TXT 记录，这类流程统称[域名控制验证](https://ssl.sh/zh/glossary/dcv/)。证书主题里只有域名，不包含公司名称、地址等组织信息。

## 为什么重要
DV 证书不需要人工审核材料，几秒到几分钟就能签发，并且可以通过 [ACME](https://ssl.sh/zh/glossary/acme/) 协议全自动申请和续期。Let's Encrypt 这类免费 CA 只签发 DV 证书；国内阿里云、腾讯云 SSL 证书服务里的免费证书，以及宝塔面板一键申请的证书，一般也都是 DV。随着 CA/浏览器论坛把证书最长有效期从 2026 年 3 月 15 日起的 200 天逐步缩短到 2029 年 3 月 15 日起的 47 天，域名验证结果的复用期也会缩到 10 天，手动申请、手动上传的做法会越来越难维持，自动化的 DV 是最省心的选择。另外，自 2025 年起 CA 必须从多个网络位置同时执行域名验证（[MPIC](https://ssl.sh/zh/glossary/mpic/)），以防有人通过局部网络劫持骗取证书。

## 例子
查看 DV 证书的主题，只能看到域名：

```bash
openssl x509 -in example.com.crt -noout -subject
# subject=CN = example.com
```

用 DNS 验证时，通常在 DNSPod 或阿里云云解析里按 CA 给出的主机记录（如 `_acme-challenge`）和记录值添加一条 TXT 记录即可。

## 常见误区
- **DV 证书加密强度低。** 加密强度取决于密钥和协商出的密码套件，与验证级别无关，DV、[OV](https://ssl.sh/zh/glossary/ov-certificate/)、EV 的加密效果完全一样。
- **有小锁就说明网站可信。** DV 只证明申请时控制了域名，钓鱼网站同样能拿到 DV 证书。
- **免费证书浏览器不认。** 主流免费 DV 证书的根证书早已进入各大浏览器和操作系统的信任库。
- **做了 ICP 备案才能申请 DV。** 备案与 HTTPS 证书无关，CA 只验证域名控制权。

## 相关术语

- [OV 证书](https://ssl.sh/zh/glossary/ov-certificate/): OV 证书是 CA 在验证域名控制权之外，还核实了证书中所写组织真实合法存在的 TLS 证书。
- [EV 证书](https://ssl.sh/zh/glossary/ev-certificate/): EV 证书是按照 CA/浏览器论坛《EV 指南》完成最严格身份审核后签发的 TLS 证书。
- [DCV](https://ssl.sh/zh/glossary/dcv/): DCV 即域名控制权验证，是 CA 在签发证书前确认申请者确实控制证书中每一个域名的检查。
- [ACME](https://ssl.sh/zh/glossary/acme/): ACME 是 IETF 标准协议（RFC 8555），让软件自动向 CA 证明域名控制权，并自动申请、续期和吊销证书。
- [Let's Encrypt](https://ssl.sh/zh/glossary/let-s-encrypt/): Let's Encrypt 是由非营利组织 ISRG 运营的免费、自动化证书颁发机构，通过 ACME 协议签发域名验证型 TLS 证书。
- [SSL 证书](https://ssl.sh/zh/glossary/ssl-certificate/): SSL 证书是由 CA 签名的 X.509 证书，把公钥与一个或多个域名（或 IP 地址）绑定，供 TLS 客户端验证服务器身份。
- [MPIC](https://ssl.sh/zh/glossary/mpic/): MPIC 是要求 CA 从多个网络位置重复进行域名验证和 CAA 检查、只有足够多位置结果一致才签发证书的规则。