# OV 证书（组织验证型证书）是什么？定义、例子与常见误区

> OV 证书是 CA 在验证域名控制权之外，还核实了证书中所写组织真实合法存在的 TLS 证书。

Source: https://ssl.sh/zh/glossary/ov-certificate/
Last updated: 2026-11-10

OV（Organization Validated）证书在 DV 的基础上增加了组织身份审核。除了所有公共证书都必须做的[域名控制验证](https://ssl.sh/zh/glossary/dcv/)，CA 还会通过工商登记等可靠来源核实企业是否真实存在，并确认申请人有权代表该组织申请。签发后，证书主题里除了域名，还会写入组织名称（O）、所在城市（L）、省份（ST）和国家（C），并带有 CA/浏览器论坛规定的 OV 策略标识 2.23.140.1.2.2。

## 为什么重要
OV 让用户和审计人员可以在证书详情里看到网站背后是哪家法律实体。一些政企、金融项目的采购或合规要求里会写明使用 OV 或更高级别的证书。组织信息审核结果最长可复用 398 天，而域名验证需要按 SC-081v3 的时间表更频繁地重新完成。国内申请 OV 时，CA 一般会要求提供营业执照等材料并电话核实，签发前需要留出人工审核的时间。部分商业 CA 支持在组织预先审核后，通过 [ACME](https://ssl.sh/zh/glossary/acme/) 加 [EAB](https://ssl.sh/zh/glossary/eab/) 自动签发 OV 证书，这样 OV 也不必每次手动续期。

## 例子
```bash
openssl x509 -in example.com.crt -noout -subject
# subject=C = CN, ST = Beijing, L = Beijing, O = Example Co. Ltd., CN = example.com
```

主题里有 O 字段，是 OV 与 [DV 证书](https://ssl.sh/zh/glossary/dv-certificate/)最直观的区别。

## 常见误区
- **OV 比 DV 加密更强。** 加密算法和强度完全一样，区别只在身份审核。
- **浏览器地址栏会显示公司名。** 主流浏览器对 DV、OV、EV 的地址栏显示相同，公司名只能在证书详情里看到。
- **用了 OV 就能防钓鱼。** 普通用户几乎不会点开证书详情，OV 也不代表网站内容可信。

## 相关术语

- [DV 证书](https://ssl.sh/zh/glossary/dv-certificate/): DV 证书是 CA 只验证申请者对域名的控制权、不核实申请者身份的 TLS 证书，签发快且可以完全自动化。
- [EV 证书](https://ssl.sh/zh/glossary/ev-certificate/): EV 证书是按照 CA/浏览器论坛《EV 指南》完成最严格身份审核后签发的 TLS 证书。
- [DN](https://ssl.sh/zh/glossary/distinguished-name/): DN 即可分辨名称，是由 C、O、CN 等属性组成的 X.500 风格结构化名称，用来标识 X.509 证书的主体和颁发者。
- [SSL 证书](https://ssl.sh/zh/glossary/ssl-certificate/): SSL 证书是由 CA 签名的 X.509 证书，把公钥与一个或多个域名（或 IP 地址）绑定，供 TLS 客户端验证服务器身份。
- [证书策略](https://ssl.sh/zh/glossary/certificate-policy/): 证书策略（CP）是针对某类证书签发和使用制定的一套命名规则，在证书的证书策略扩展中以 OID 形式引用。
- [EAB](https://ssl.sh/zh/glossary/eab/): EAB 即外部账户绑定，是 ACME 的一项功能，用 CA 提供的密钥 ID 和 HMAC 密钥把新 ACME 账户关联到你在该 CA 的已有客户账户。
- [DCV](https://ssl.sh/zh/glossary/dcv/): DCV 即域名控制权验证，是 CA 在签发证书前确认申请者确实控制证书中每一个域名的检查。