📚 课程目录第2章证书类型详解

证书类型详解：DV、OV、EV 证书的区别与选择、通配符证书、多域名证书

说到证书类型，很多刚入行的朋友容易搞混。其实说白了，就是 CA 在发证前对你的验证程度不一样。我见过不少团队，业务刚起步就买了 EV 证书，结果每年多花好几万，完全没必要。反过来，也有做金融支付的，图便宜用了 DV 证书，被安全审计怼得满头包。

今天我把这块掰开揉碎了讲清楚。你听完就知道，什么场景该选什么证书。

一、DV、OV、EV 到底差在哪？

这三类证书的核心区别，就是 CA 验证你身份的方式不同。我画了张图，帮你快速建立认知。

二、DV 证书：快速、便宜、够用

DV 全称 Domain Validation，域名验证。CA 只检查你对这个域名有没有控制权。怎么检查？给你域名邮箱发邮件，或者让你在网站根目录放个验证文件，再或者加个 DNS TXT 记录。

我个人习惯，内部测试环境、个人项目、或者一些短期的活动页面，都用 DV 证书。Let's Encrypt 免费，Certbot 一键搞定，几分钟就能签发。

小技巧： 用 DNS 验证方式签发 DV 证书，可以避免邮件收不到的问题。我一般优先选 DNS-01 challenge，配合自动化脚本，续期都不用管。

但 DV 证书有个硬伤——它不验证你的公司身份。浏览器地址栏只显示一把锁，不会显示公司名称。所以钓鱼网站也能轻松拿到 DV 证书。你想想看，如果用户看到锁就以为安全，那风险就大了。

注意： 电商、金融、政务类网站，不要用 DV 证书。我曾经帮一个客户排查用户投诉，发现他们用 DV 证书做支付页面，用户反馈看不到企业信息，信任度极低。后来换了 OV 证书，转化率提升了 12%。

三、OV 证书：企业身份的「身份证」

OV 全称 Organization Validation，组织验证。CA 不光验证域名，还会核实你的企业信息。营业执照、工商注册、企业电话，都得过一遍。审核时间一般 1~3 个工作日。

OV 证书最大的价值，是让用户看到你的企业名称。浏览器点击锁图标，能看到「此网站的所有者：XX 科技有限公司」。这层信任背书，对商业网站来说很重要。

我在项目中遇到过，一个做企业级 SaaS 的客户，一开始用 DV 证书。客户反馈说「连公司名都看不到，怎么放心把数据交给你们？」后来换了 OV 证书，大客户的签约率明显改善。

说白了，OV 证书是「性价比之选」。价格比 EV 便宜很多，但该有的信任背书都有了。大部分企业官网、SaaS 平台、API 服务，OV 证书完全够用。

四、EV 证书：最高级别的「信任金牌」

EV 全称 Extended Validation，扩展验证。这是最严格的审核流程。CA 会派人核实你的企业注册信息、办公地址、法律状态，甚至要联系你的注册代理。审核周期 3~10 个工作日，价格也最贵。

EV 证书在浏览器里有个标志性特征——地址栏会变绿，直接显示公司名称。不过 Chrome 后来改了，不再显示绿色地址栏，但证书详情里依然能看到完整的 EV 验证信息。

我个人觉得，EV 证书现在有点「信仰加成」的意思。真正懂安全的人，不会只看地址栏颜色。但不可否认，在金融、银行、支付、政府这些领域，EV 证书依然是标配。合规审计的时候，EV 证书能省不少口舌。

  我的建议： 如果你的网站涉及资金交易、用户敏感信息，或者你的品牌知名度高、容易被仿冒，那就上 EV 证书。否则，OV 证书是更务实的选择。

五、通配符证书：一张证书管所有子域名

通配符证书，就是证书的 Common Name 里带个 * 号。比如 *.example.com，可以保护 www.example.com、api.example.com、blog.example.com 等等，所有一级子域名。

这个功能太实用了。我管理过一个项目，有 30 多个子域名，如果每个都单独申请证书，光续期就能把人逼疯。一张通配符证书，全搞定。

# 通配符证书的 CN 示例
CN = *.example.com

# 它能保护的域名
www.example.com       ✅
api.example.com       ✅
blog.example.com      ✅
mail.example.com      ✅

# 它不能保护的域名
example.com           ❌（裸域名需要单独配）
sub.api.example.com   ❌（二级子域名不支持）

注意： 通配符证书只保护 一级子域名。比如 *.example.com 不能保护 sub.api.example.com。另外，裸域名 example.com 需要单独申请证书，或者用 SAN 字段加上。

通配符证书还有个好处——新增子域名不用重新签发。你新上线一个 dev.example.com，直接部署同一张证书就行。我习惯在 Nginx 里统一配置，省心省力。

六、多域名证书：一张证书管多个不同域名

多域名证书，也叫 SAN 证书（Subject Alternative Name）。它允许你把多个不同的域名放在同一张证书里。比如 example.com、example.org、example.net，全塞进去。

这个场景也很常见。公司有多个品牌、多个业务线，域名各不相同。如果每个域名都单独买证书，管理成本高，还容易漏掉续期。

特性	通配符证书	多域名证书
保护范围	同一域名下的所有一级子域名	多个不同的域名（可跨域）
典型 CN	`*.example.com`	`example.com` + SAN 列表
适用场景	子域名多的单一业务	多品牌、多业务线、多域名
扩展性	新增子域名无需重新签发	新增域名需重新签发或购买额外 SAN
价格	中等（比单域名贵，比多域名便宜）	按 SAN 数量计费，越多越贵

多域名证书有个坑要注意——每个 CA 对 SAN 数量的限制不一样。有的最多支持 10 个，有的支持 100 个。买之前一定要看清楚。我曾经有个客户，买了 50 个 SAN 的证书，结果业务扩张到 60 个域名，只能再买一张，浪费了钱。

组合拳： 我常用的策略是「多域名证书 + 通配符证书」组合。主域名用多域名证书，把几个核心业务域名放进去；每个业务域名下再配通配符证书，管子域名。这样既灵活又省钱。

七、怎么选？一张表说清楚

最后，我整理了一个选择指南。你对照自己的场景，直接看就行。

你的场景	推荐证书类型	理由
个人博客、测试环境	DV 单域名或 DV 通配符	免费、快速、够用
企业官网、SaaS 平台	OV 通配符或 OV 多域名	有企业背书，性价比高
电商、支付、金融	EV 单域名或 EV 多域名	最高信任等级，合规要求
API 服务、微服务集群	DV 通配符	子域名多，自动化管理
多品牌、多业务线	OV 多域名	一张证书管多个不同域名
政府、大型企业门户	EV 多域名	权威性、合规性、品牌保护

嗯，证书类型这块，核心就是搞清楚你的业务需要什么级别的信任。别盲目追求 EV，也别为了省钱用 DV 糊弄。选对了，用户信任你，审计不找你，运维也省心。