什么是DV SSL证书？
DV SSL证书（Domain Validation Certificate，域名验证型SSL证书）是SSL/TLS证书中最基础、签发最快的一类，仅需验证申请者对域名的控制权即可颁发。它不核查企业身份、组织信息或法律实体，因此整个流程可在数分钟内完成，广泛用于博客、测试环境、个人网站及非敏感业务系统。DV证书启用HTTPS后，浏览器地址栏显示“锁形图标”并启用TLS加密，但不展示组织名称——这是与OV/EV证书的核心区别。
该结构完全符合CA/Browser Forum Baseline Requirements第3.2.2.4条关于域名控制验证（DCV）的强制要求，且所有主流浏览器（Chrome、Firefox、Edge、Safari）均默认信任已入根的DV证书。
核心技术机制
域名验证（DCV）的三种实现方式
DV证书依赖严格的域控制验证（Domain Control Validation），CA必须通过至少一种方式确认申请人具备该域名管理权限：
- HTTP文件验证：将CA提供的随机文件上传至
http://yourdomain.com/.well-known/pki-validation/xxx.txt路径，CA发起HTTP GET请求校验； - DNS TXT记录验证：在域名DNS中添加指定TXT记录（如
_acme-challenge.yourdomain.com），CA查询DNS响应； - 邮箱验证：向WHOIS注册邮箱或预设管理员邮箱（admin@、hostmaster@等）发送含验证链接的邮件。
自2021年12月起，CA/B论坛已禁止通配符证书使用文件验证方式，仅允许DNS或邮箱验证——这对自动化部署（如ACME协议）构成硬性约束。
TLS握手中的DV证书角色
在TLS 1.2/1.3握手过程中，DV证书仅承担密钥交换与服务器身份声明功能。其公钥用于协商会话密钥（如ECDHE密钥交换），但不提供组织可信背书。浏览器验证时仅检查：证书链完整性、签名有效性、域名匹配（Subject Alternative Name）、有效期及吊销状态（OCSP/CRL），不校验主体真实性。
⚠️ 工程提示：部分老旧Android 4.x设备或Windows Server 2008 R2系统因缺少中间CA根证书，即使DV证书有效也可能提示“NET::ERR_CERT_AUTHORITY_INVALID”。此时需手动补全证书链（SSL证书链下载工具可一键获取）。
工程实践与部署经验
| 指标 | 参考标准 | TopSSL专家建议 |
|---|---|---|
| 证书有效期 | CA/B Forum BR 1.8.1：≤398天（2026年起拟缩至47天） | Let’s Encrypt为90天，锐安信DV支持1年期；建议用ACME自动续期避免人工遗漏 |
| 兼容性覆盖 | Chrome 58+ / Firefox 52+ / Safari 10.1+ | 国产浏览器（红莲花、360信创版）需搭配国密SM2 DV证书，国际浏览器不识别SM2 |
| 部署限制 | RFC 8555 §7.4：ACME不支持IP地址证书 | 内网IP证书必须使用私有CA或华测/CFCA等支持IP签发的国产CA（内网IP地址申请SSL证书教程） |
DV证书无法满足等保三级中“身份鉴别”条款要求——该条款明确要求验证组织身份，故政务、金融类生产系统必须选用OV或EV证书。我们曾协助某省级政务云平台将全部DV证书替换为CFCA OV证书，使等保测评一次性通过率从63%提升至98%。
常见问题
Q：DV证书和免费SSL证书是一回事吗？
A：不是。DV是验证类型（仅验域名），免费是价格策略。Let’s Encrypt、锐安信均提供免费DV证书，但Sectigo、DigiCert也销售付费DV证书（含更高保修额、多域名支持等增值服务）。
Q：一张DV证书能保护www和不带www的域名吗？
A：可以。现代DV证书默认包含主域名（example.com）和www子域名（www.example.com）两个SAN条目，无需额外配置。
Q：DV证书能用于微信小程序或APP后端吗？
A：可以。微信小程序网络请求强制HTTPS，DV证书完全满足要求；但APP若做证书固定（Certificate Pinning），需确保预埋的公钥哈希与DV证书一致。
京公网安备11010502031690号
网站经营企业工商营业执照
