4. 证书颁发策略：证书类型、等级、颁发周期与审核机制

说到证书颁发策略，我见过不少团队一上来就纠结“选OV还是EV”，其实这是把顺序搞反了。颁发策略的核心，是先搞清楚你的设备需要什么级别的信任，再反过来选证书类型。今天咱们就把DV、OV、EV这三兄弟，以及背后的等级、周期、审核机制，一次性说透。

4.1 证书类型：DV、OV、EV 到底差在哪？

说白了，这三种类型的区别就是“CA到底查了你多少家底”。

类型	验证深度	审核内容	适用场景	颁发速度
DV（Domain Validation）	仅验证域名控制权	DNS记录、HTTP文件、邮箱	内部设备、测试环境、IoT传感器	分钟级
OV（Organization Validation）	验证域名 + 组织身份	营业执照、企业数据库、电话回访	企业设备、API网关、VPN网关	1-3个工作日
EV（Extended Validation）	最高级别法律审核	律师函、公证文件、现场审计	金融交易、政府系统、关键基础设施	1-2周

4.2 证书等级：不只是“贵”和“便宜”

证书等级其实是个多维度的概念。除了上面说的验证级别，还有几个维度你得分清楚：

• 密钥长度等级： RSA 2048位是底线，4096位是推荐。ECC的话，P-256起步。
• 签名算法等级： SHA-256是标配，SHA-1已经进棺材了，别碰。
• CA层级等级： 根CA → 中间CA → 设备证书。层级越深，兼容性问题越多。

4.3 颁发周期：快有快的代价，慢有慢的好处

颁发周期不是越短越好。你得看场景：

• 自动颁发（分钟级）： 适合大规模设备入网。用ACME协议或者SCEP，设备上线自动申请证书。我习惯在IoT场景下用ACME，配合DNS-01验证，设备插电即用。
• 半自动颁发（小时级）： 适合有审批流程的企业环境。管理员审核设备信息后，触发自动签发。比如VPN网关证书，管理员确认设备序列号后，系统自动颁发。
• 人工颁发（天级）： 适合高安全场景。比如根CA证书、代码签名证书。每一步都有人工复核，甚至需要双人签名。

4.4 审核机制：CA到底在查什么？

很多人觉得CA审核就是走个过场。其实不是。CA的审核机制，本质上是在回答三个问题：

1. 你是谁？ 组织身份验证（OV/EV）
2. 你控制这个设备吗？ 域名/设备所有权验证
3. 你值得信任吗？ 历史信誉、黑名单检查

具体到设备证书，审核机制通常包括：

• 自动审核： 检查CSR中的CN/SAN是否在白名单内，设备指纹是否匹配。
• 人工审核： 核对营业执照、授权书、设备采购合同。EV证书甚至需要律师见证。
• 持续审核： 证书颁发后，CA会定期检查证书状态。如果发现异常（比如私钥泄露），会立即吊销。

4.5 证书类型与等级选择决策树

为了帮你快速决策，我画了一张图。你可以根据设备类型和信任需求，沿着箭头找到最合适的证书策略。

4.6 颁发策略的落地建议

最后，给你几个我踩过坑之后总结的落地建议：

• 分层管理： 不同安全等级的设备，用不同的CA中间证书。比如IoT设备用DV中间CA，核心服务器用OV中间CA。这样即使IoT的私钥泄露，也不会影响核心系统。
• 自动化优先： 能用ACME、SCEP、EST，就别手动。我见过一个团队，手动颁发证书导致证书过期没人管，结果生产环境直接断连。
• 审核留痕： 所有证书颁发记录必须存日志。包括谁申请的、谁审核的、什么时候颁发的、什么时候过期。这是合规审计的命根子。
• 定期复盘： 每半年检查一次证书策略。设备类型会变，安全要求会变，证书策略也得跟着变。