# DV、OV、EV 证书有什么区别？验证内容与选购建议

> DV、OV、EV 证书的区别只在 CA 核验了多少身份信息，加密强度完全相同。三种证书各验证什么、证书里有什么不同、该怎么选。

Source: https://ssl.sh/zh/learn/dv-ov-ev/
Last updated: 2026-11-10

DV、OV、EV 证书的区别只在于 CA 签发前对你核验了多少信息，连接的加密强度完全一样。DV（域名验证）证书只证明你控制这个域名；OV（组织验证）证书还写入经过核验的单位名称；EV（扩展验证）证书按统一标准更严格地审核单位的法律身份。浏览器 2019 年起不再在地址栏显示 EV 公司名，大多数网站用 DV 证书加自动续期即可。

## 三种证书一览

验证级别只改变 CA 做哪些核验、证书主题里写哪些字段，其他一概不变。下表按 CA/浏览器论坛的 Baseline Requirements（BR）和 EV 指南对比三者：

| | DV | OV | EV |
|---|---|---|---|
| CA 核验什么 | 每个域名的控制权 | 域名控制权 + 单位的合法存续、名称和地址 | 域名控制权 + 更严格的法律、经营和实际存在核验，以及申请人授权 |
| 证书里有没有单位名称 | 没有 | 有（`O=`） | 有，另加注册号和注册地 |
| CA/B 论坛策略 OID | 2.23.140.1.2.1 | 2.23.140.1.2.2 | 2.23.140.1.1 |
| 典型签发时间 | 几秒到几分钟 | 首次几个工作日 | 首次几个工作日 |
| 能否用 ACME 全自动 | 能 | 只有单位预先验证过才行 | 只有单位预先验证过才行 |
| 通配符 | 可以 | 可以 | 不可以 |
| 加密与 TLS | 相同 | 相同 | 相同 |
| 最长有效期 | 三者相同：2026-03-15 起 200 天 | 相同 | 相同 |

另外还有一种 IV（个人验证）证书，OID 为 2.23.140.1.2.3，用于证书主体是自然人而不是单位的情况，网站上很少见。

## DV：只证明域名控制权

DV 证书只说明一件事：申请者在验证时控制着这个域名。CA 并不知道、也不记录你是谁。BR 规定了允许的域名控制验证（[DCV](https://ssl.sh/zh/glossary/dcv/)）方法，常用的有：

- **DNS 记录**：在 TXT 或 CNAME 记录里放一个随机值，ACME 的 [dns-01](https://ssl.sh/zh/glossary/dns-01/) 就是这样；国内用户常在 DNSPod、阿里云解析里添加这条记录。
- **HTTP 文件**：在 `/.well-known/` 下的某个路径放一个随机值文件，即 ACME 的 [http-01](https://ssl.sh/zh/glossary/http-01/)。
- **TLS-ALPN**：在 443 端口响应一次特殊的 TLS 握手，即 ACME 的 [tls-alpn-01](https://ssl.sh/zh/glossary/tls-alpn-01/)。
- **邮件**：点击发到 `admin@`、`webmaster@` 等约定邮箱的验证链接。

从 2025 年起，BR 还要求多视角验证（[MPIC](https://ssl.sh/zh/glossary/mpic/)）：CA 必须从多个网络位置得到一致的验证结果，这让借助局部 BGP 或 DNS 劫持骗过 CA 变得困难得多。

DV 是唯一可以完全无人值守签发和续期的级别，所以 [Let's Encrypt](https://ssl.sh/zh/cas/lets-encrypt/) 这类免费 ACME CA 只签发 DV 证书，阿里云、腾讯云等平台提供的免费证书也都是 DV。随着有效期缩短，这一点越来越重要：按照 SC-081v3，2029 年 3 月 15 日起证书最长有效期降到 47 天，域名验证结果的复用期降到 10 天。详见 [47 天证书](https://ssl.sh/zh/learn/47-day-certificates/)。

## OV：证书里写着经过核验的单位名称

OV 证书会把单位经过核验的法定名称和所在地写进证书主题。签发前，CA 要通过政府企业登记信息或其他可靠数据源确认单位真实存在，确认地址，并核实下单人有权代表单位申请，通常的做法是拨打 CA 自己独立查到的单位电话。对国内企业来说，这一般意味着营业执照信息要和工商登记一致，单位电话要能在公开渠道查到并有人接听。

证书主题字段的差别一眼就能看出来：

```text
DV:  subject=CN=example.com
OV:  subject=C=CN, ST=Beijing, L=Beijing, O=Example Co., Ltd., CN=example.com
```

单位验证信息可以在后续订单里复用，所以 OV 续期一般很快。SC-081v3 把单位信息的复用期从 825 天缩短到 398 天，也就是说大约每年要重新核验一次单位。

## EV：最严格的身份审核

EV 证书遵循 CA/B 论坛的另一份文件《EV 指南》，2007 年首次通过，审核流程固定且需要审计。在 OV 核验之外，CA 还必须确认：

- 单位在注册地的合法存续和注册号；
- 实际经营场所；
- 经营存续情况，成立不满约三年的单位通常要核实其银行账户；
- 申请和批准证书的人确实获得单位授权，并签署订户协议。

证书主题里会多出 `businessCategory`、`serialNumber`（注册号）、`jurisdictionCountryName` 等字段。EV 证书不能包含通配符域名。

### 浏览器为什么不再突出显示 EV

EV 是为一种已经不存在的浏览器界面设计的。大约十年间，浏览器会在网址旁边用绿色地址栏显示经过核验的公司名。Chrome 安全体验团队的研究结论是，这个标识并没有改变用户行为：缺少它时，用户照样输入密码和银行卡号。于是 2019 年 Chrome 77 把 EV 信息移到了“页面信息”面板里，同年 Firefox 70 也做了同样的调整。

研究者还证明了公司名称本身可能误导人。2017 年，有研究者在美国另一个州注册了一家与知名支付公司同名的公司，并合规地拿到了显示这个名称的 EV 证书。

如今连“安全连接”的标识本身也趋于中性。2023 年 9 月发布的 Chrome 117 把小锁换成了一个“调节”图标，因为很多用户把小锁理解成“这个网站可信”，而它其实只代表“连接是加密的”。基于 Chromium 的国产浏览器大多跟进了类似的界面，但具体样式以各浏览器当前版本为准。

## 加密强度在三个级别完全相同

验证级别对密码学没有任何影响。证书密钥（RSA 或 ECDSA）、TLS 版本、加密套件和[前向保密](https://ssl.sh/zh/glossary/forward-secrecy/)都与 DV、OV、EV 无关。同一台服务器上，免费 DV 证书和昂贵的 EV 证书协商出的是完全相同的 TLS 1.3 连接。

其他规则也一样适用：所有公网可信 TLS 证书都必须记录到[证书透明度](https://ssl.sh/zh/learn/certificate-transparency/)日志，都要经过 [CAA](https://ssl.sh/zh/learn/caa-records/) 检查，最长有效期也都相同。

## 怎么判断一张证书是哪个级别

最可靠的是看“证书策略”扩展里的策略 OID，主题里有没有 `O=` 字段也是很强的提示。用 OpenSSL：

```bash
echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null \
  | openssl x509 -noout -subject -ext certificatePolicies
```

```text
subject=CN=letsencrypt.org
X509v3 Certificate Policies:
    Policy: 2.23.140.1.2.1
```

这是 2026 年 11 月从 letsencrypt.org 取到的结果：主题里没有单位名称，策略 OID 是 DV，所以是 DV 证书。在 Chrome 里，点击地址栏左侧的图标，依次进入“连接是安全的”“证书有效”，打开“详细信息”页也能看到。也可以把证书粘贴到 [证书解码工具](https://ssl.sh/zh/tools/certificate-decoder/) 里查看。

## 该怎么选

按“谁需要看到身份信息”来选，而不是按“想要多安全”来选。

- **网站、API、SaaS 产品：选 DV。** 用 ACME 客户端（certbot、acme.sh 或宝塔面板自带的 Let's Encrypt 功能）自动续期。有效期越来越短，自动化才是首要需求，而只有 DV 能完全自动。见 [自动化续期证书](https://ssl.sh/zh/learn/automate-certificate-renewal/)。
- **合同、审计或招标要求证书显示单位名称：选 OV。** 一些政企、金融项目的招标文件或内部安全规范会写明要求 OV 或 EV。选购时确认 CA 支持“单位预验证 + ACME”，这样续期仍能自动化。
- **EV：只在制度明确要求时使用。** EV 在主流浏览器里已没有显眼标识。如果继续使用，要预留重新审核的时间，并接受不能用通配符。

还有两类产品用类似的身份审核，但不是 TLS 服务器证书：[代码签名证书](https://ssl.sh/zh/glossary/code-signing-certificate/)，EV 级别会影响 Windows 对签名软件的处理；以及用于 [BIMI](https://ssl.sh/zh/glossary/bimi/) 邮件品牌标识的[认证标志证书 VMC](https://ssl.sh/zh/glossary/vmc/)。不要让它们的要求左右网站证书的选择。

## 有效期缩短对 OV、EV 的影响

有效期缩短对 OV、EV 的冲击比 DV 大，因为它们的人工环节每次续期都要重来。按 SC-081v3，最长有效期从现在的 200 天降到 2027 年 3 月 15 日的 100 天和 2029 年 3 月 15 日的 47 天。到 47 天时，一张证书一年要更换大约八次。

工作流程的三个环节受到的影响不同：

| 环节 | DV | OV / EV |
|---|---|---|
| 域名控制验证 | ACME 客户端自动重做 | 同样要重做，2029 年复用期缩到 10 天 |
| 单位身份核验 | 不涉及 | 最多复用 398 天，之后要重新提交材料、接听核验电话 |
| 安装新证书 | 自动 | 只有 CA 对该产品支持 ACME 时才能自动 |

结论是：付费 OV、EV 证书要想规模化管理，CA 必须允许 ACME 客户端绑定到已预验证的单位账户，通常是通过 ACME 的 EAB（外部账户绑定）。如果续期仍然意味着在网页后台上传 CSR、等审核邮件，最好在 2027 年之前换掉这套流程。

## 常见误解

买 OV、EV 的几条常见理由（防钓鱼、加密更强、对访客有赔付保障）都站不住。

- **“EV 能防钓鱼。”** 钓鱼网站给自己的域名申请 DV 证书就够了。EV 只说明当前域名归谁，而用户很少去看。
- **“OV、EV 加密更强。”** 加密完全相同，见上文。
- **“付费证书附带的赔付保障能保护访客。”** CA 的保障条款只覆盖少数由 CA 错误签发造成的情形，并附带 CA 自定的条件，不是给访客的保险。把它当作购买理由之前，先读条款。
- **“DV 只适合小网站。”** 许多大型网站正因为需要大规模自动化而使用 DV 证书。

如果确实要比较付费证书，不同级别之间的价差买的是 CA 的人工审核工作，而不是证书在技术上的任何能力。