DV、OV、EV 证书有什么区别？验证内容与选购建议

DV、OV、EV 证书的区别只在于 CA 签发前对你核验了多少信息，连接的加密强度完全一样。DV（域名验证）证书只证明你控制这个域名；OV（组织验证）证书还写入经过核验的单位名称；EV（扩展验证）证书按统一标准更严格地审核单位的法律身份。浏览器 2019 年起不再在地址栏显示 EV 公司名，大多数网站用 DV 证书加自动续期即可。

三种证书一览

验证级别只改变 CA 做哪些核验、证书主题里写哪些字段，其他一概不变。下表按 CA/浏览器论坛的 Baseline Requirements（BR）和 EV 指南对比三者：

另外还有一种 IV（个人验证）证书，OID 为 2.23.140.1.2.3，用于证书主体是自然人而不是单位的情况，网站上很少见。

DV：只证明域名控制权

DV 证书只说明一件事：申请者在验证时控制着这个域名。CA 并不知道、也不记录你是谁。BR 规定了允许的域名控制验证（DCV）方法，常用的有：

• DNS 记录：在 TXT 或 CNAME 记录里放一个随机值，ACME 的 dns-01 就是这样；国内用户常在 DNSPod、阿里云解析里添加这条记录。
• HTTP 文件：在 /.well-known/ 下的某个路径放一个随机值文件，即 ACME 的 http-01。
• TLS-ALPN：在 443 端口响应一次特殊的 TLS 握手，即 ACME 的 tls-alpn-01。
• 邮件：点击发到 admin@、webmaster@ 等约定邮箱的验证链接。

从 2025 年起，BR 还要求多视角验证（MPIC）：CA 必须从多个网络位置得到一致的验证结果，这让借助局部 BGP 或 DNS 劫持骗过 CA 变得困难得多。

DV 是唯一可以完全无人值守签发和续期的级别，所以 Let's Encrypt 这类免费 ACME CA 只签发 DV 证书，阿里云、腾讯云等平台提供的免费证书也都是 DV。随着有效期缩短，这一点越来越重要：按照 SC-081v3，2029 年 3 月 15 日起证书最长有效期降到 47 天，域名验证结果的复用期降到 10 天。详见 47 天证书。

OV：证书里写着经过核验的单位名称

OV 证书会把单位经过核验的法定名称和所在地写进证书主题。签发前，CA 要通过政府企业登记信息或其他可靠数据源确认单位真实存在，确认地址，并核实下单人有权代表单位申请，通常的做法是拨打 CA 自己独立查到的单位电话。对国内企业来说，这一般意味着营业执照信息要和工商登记一致，单位电话要能在公开渠道查到并有人接听。

证书主题字段的差别一眼就能看出来：

DV:  subject=CN=example.com
OV:  subject=C=CN, ST=Beijing, L=Beijing, O=Example Co., Ltd., CN=example.com

单位验证信息可以在后续订单里复用，所以 OV 续期一般很快。SC-081v3 把单位信息的复用期从 825 天缩短到 398 天，也就是说大约每年要重新核验一次单位。

EV：最严格的身份审核

EV 证书遵循 CA/B 论坛的另一份文件《EV 指南》，2007 年首次通过，审核流程固定且需要审计。在 OV 核验之外，CA 还必须确认：

• 单位在注册地的合法存续和注册号；
• 实际经营场所；
• 经营存续情况，成立不满约三年的单位通常要核实其银行账户；
• 申请和批准证书的人确实获得单位授权，并签署订户协议。

证书主题里会多出 businessCategory、serialNumber（注册号）、jurisdictionCountryName 等字段。EV 证书不能包含通配符域名。

浏览器为什么不再突出显示 EV

EV 是为一种已经不存在的浏览器界面设计的。大约十年间，浏览器会在网址旁边用绿色地址栏显示经过核验的公司名。Chrome 安全体验团队的研究结论是，这个标识并没有改变用户行为：缺少它时，用户照样输入密码和银行卡号。于是 2019 年 Chrome 77 把 EV 信息移到了“页面信息”面板里，同年 Firefox 70 也做了同样的调整。

研究者还证明了公司名称本身可能误导人。2017 年，有研究者在美国另一个州注册了一家与知名支付公司同名的公司，并合规地拿到了显示这个名称的 EV 证书。

如今连“安全连接”的标识本身也趋于中性。2023 年 9 月发布的 Chrome 117 把小锁换成了一个“调节”图标，因为很多用户把小锁理解成“这个网站可信”，而它其实只代表“连接是加密的”。基于 Chromium 的国产浏览器大多跟进了类似的界面，但具体样式以各浏览器当前版本为准。

加密强度在三个级别完全相同

验证级别对密码学没有任何影响。证书密钥（RSA 或 ECDSA）、TLS 版本、加密套件和前向保密都与 DV、OV、EV 无关。同一台服务器上，免费 DV 证书和昂贵的 EV 证书协商出的是完全相同的 TLS 1.3 连接。

其他规则也一样适用：所有公网可信 TLS 证书都必须记录到证书透明度日志，都要经过 CAA 检查，最长有效期也都相同。

怎么判断一张证书是哪个级别

最可靠的是看“证书策略”扩展里的策略 OID，主题里有没有 O= 字段也是很强的提示。用 OpenSSL：

echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null \
  | openssl x509 -noout -subject -ext certificatePolicies

subject=CN=letsencrypt.org
X509v3 Certificate Policies:
    Policy: 2.23.140.1.2.1

这是 2026 年 11 月从 letsencrypt.org 取到的结果：主题里没有单位名称，策略 OID 是 DV，所以是 DV 证书。在 Chrome 里，点击地址栏左侧的图标，依次进入“连接是安全的”“证书有效”，打开“详细信息”页也能看到。也可以把证书粘贴到 证书解码工具 里查看。

该怎么选

按“谁需要看到身份信息”来选，而不是按“想要多安全”来选。

• 网站、API、SaaS 产品：选 DV。 用 ACME 客户端（certbot、acme.sh 或宝塔面板自带的 Let's Encrypt 功能）自动续期。有效期越来越短，自动化才是首要需求，而只有 DV 能完全自动。见 自动化续期证书。
• 合同、审计或招标要求证书显示单位名称：选 OV。 一些政企、金融项目的招标文件或内部安全规范会写明要求 OV 或 EV。选购时确认 CA 支持“单位预验证 + ACME”，这样续期仍能自动化。
• EV：只在制度明确要求时使用。 EV 在主流浏览器里已没有显眼标识。如果继续使用，要预留重新审核的时间，并接受不能用通配符。

还有两类产品用类似的身份审核，但不是 TLS 服务器证书：代码签名证书，EV 级别会影响 Windows 对签名软件的处理；以及用于 BIMI 邮件品牌标识的认证标志证书 VMC。不要让它们的要求左右网站证书的选择。

有效期缩短对 OV、EV 的影响

有效期缩短对 OV、EV 的冲击比 DV 大，因为它们的人工环节每次续期都要重来。按 SC-081v3，最长有效期从现在的 200 天降到 2027 年 3 月 15 日的 100 天和 2029 年 3 月 15 日的 47 天。到 47 天时，一张证书一年要更换大约八次。

工作流程的三个环节受到的影响不同：

结论是：付费 OV、EV 证书要想规模化管理，CA 必须允许 ACME 客户端绑定到已预验证的单位账户，通常是通过 ACME 的 EAB（外部账户绑定）。如果续期仍然意味着在网页后台上传 CSR、等审核邮件，最好在 2027 年之前换掉这套流程。

常见误解

买 OV、EV 的几条常见理由（防钓鱼、加密更强、对访客有赔付保障）都站不住。

• “EV 能防钓鱼。” 钓鱼网站给自己的域名申请 DV 证书就够了。EV 只说明当前域名归谁，而用户很少去看。
• “OV、EV 加密更强。” 加密完全相同，见上文。
• “付费证书附带的赔付保障能保护访客。” CA 的保障条款只覆盖少数由 CA 错误签发造成的情形，并附带 CA 自定的条件，不是给访客的保险。把它当作购买理由之前，先读条款。
• “DV 只适合小网站。” 许多大型网站正因为需要大规模自动化而使用 DV 证书。

如果确实要比较付费证书，不同级别之间的价差买的是 CA 的人工审核工作，而不是证书在技术上的任何能力。