证书类型与选择：DV、OV、EV 到底怎么选？

聊 HTTPS 迁移，迟早要碰到一个问题：到底买哪种 SSL 证书？DV、OV、EV 这三类，看着差不多，用起来区别其实挺大。我前几年帮一家金融科技公司做全站迁移时，就是因为选错了证书类型，差点耽误上线排期。今天咱们就把这事彻底掰扯清楚。

证书到底是个啥？

说白了，SSL/TLS 证书就是服务器的一张「身份证」。浏览器访问你的网站时，先要看这张证是不是有效，是谁签发的，以及能不能信任背后那个组织。

验证的深度不同，证书就被分成了 DV、OV、EV 三个等级。

DV 证书：轻量、快速、适合个人站

DV 的全称是 Domain Validation，域名验证。CA 会给你发一封邮件或者让你加一条 DNS TXT 记录，你按要求操作，它就知道这个域名你说了算。

整个流程最快几分钟就能走完。我自己第一次申请 DV 证书时，从提交到签发，一共就花了 8 分钟。嗯，真的很快。

OV 证书：正规企业的标准选择

OV（Organization Validation）比 DV 多了组织信息审核。CA 会人工查你的营业执照、企业注册信息，甚至可能打电话给你留的联系人确认。

我遇到过最夸张的一次，对方要求我提供公司注册号的英文翻译件——因为他们的审核员看不懂中文。流程比 DV 慢，通常 1-3 个工作日。

OV 证书可以在地址栏显示公司名称（部分浏览器），对用户来说信任感提升不少。价格比 DV 贵 2-5 倍。

对比项	DV	OV
验证方式	自动（邮件/DNS）	人工+电话验证
显示公司名	不显示	部分浏览器显示
签发时间	几分钟	1-3 工作日
价格	低（免费~几百/年）	中（几百~两千/年）
适合	个人/内部	企业官网、SaaS平台

EV 证书：最高级别，但真的有必要吗？

EV（Extended Validation）是 SSL 证书里的「最高等级」。CA 要派人去核实你的实体会址、经营范围、法人身份，甚至要查你的财务记录。整个流程可能长达一周。曾经有供应商告诉我，他们最多花过 21 天审核一家跨国企业。

EV 证书的地址栏会变成绿色，同时显示公司全称。在 2018 年之前，这对电商、银行类网站几乎是标配。

但是——Chrome 在 2019 年后开始淡化 EV 显示效果，现在默认隐藏了绿色地址栏和公司名。你想想看，这意味着什么？投入巨资的 EV 证书，展示效果被浏览器直接削弱了。

一个决策框架图

下面这张图可以帮助你快速选择：从需求出发，到底选 DV、OV 还是 EV。

选型避坑指南

我整理了几个最常踩的坑，你先瞄一眼：

1. 不要只看价格。 免费的 DV 证书（如 Let's Encrypt）的确方便，但有效期只有 90 天。我见过有团队忘了自动续期，凌晨业务全部中断。如果你的是企业级业务，花钱买 OV 证书、有效期 2 年，运维成本更低。
2. 别迷信 EV。 我曾帮一家电商平台采购了 EV 证书，花了近一万块，结果 Chrome 更新后直接不显示绿色地址栏了。老板问我钱花哪了，我解释了半天。如果你不是被法规硬性要求，OV 真的够了。
3. 注意证书链完整。 不论选哪种证书，部署时必须把中间证书链一并配置好。我踩过一次：只配了服务器证书，没配中间证书，Android 上全红叉。排查了三个小时才发现。
4. 多域名还是通配符？ DV/OV/EV 都有这两个变种。如果你的站点涉及多个二级域名（a.example.com, b.example.com），直接买通配符证书省事。我习惯按「根域名+通配符」的策略走，一个证书覆盖所有子域名。

常见误区总结

错误认知	实际情况
EV 证书安全等级最高	加密强度完全一样（都是 TLS 1.2/1.3），差异只在身份验证深度
OV 证书不能免费	部分云厂商提供免费 OV 证书（如阿里云的一年期免费 OV）
DV 证书不适合企业	中小型内部系统用 DV 完全没问题，关键看用户群体
证书越贵越安全	只是验证成本分摊，和加密算法没关系

小结

选择证书类型的原则其实很简单：面向谁，就选什么级别的身份验证。个人项目选 DV，公司业务选 OV，监管强制才上 EV。别为自己不需要的身份验证买单。

还有一点：不管选哪种，部署时一定要检查完整证书链、配置自动续期、监控证书过期时间。这些运维工作比选证书本身更关键。