SSL证书按验证等级与技术形态划分的选型指南

SSL证书的类型有哪些？

SSL证书的类型按验证等级可分为 DV（域名型）、OV（企业型）、EV（增强型）；按技术结构可分为单域名、多域名（SAN）、通配符（Wildcard）以及国密 SM2 证书。

个人站点与测试环境建议选用 DV 证书；企业官网、SaaS 平台建议选用 OV 证书；金融证券等高合规场景需选用 EV 证书；拥有众多子域名的业务系统推荐选用 通配符证书。

在进行类型选型前，如果对基础加密机制尚不熟悉，可以先参考 什么是SSL证书？ 与 免费SSL证书是什么？怎么申请？。

按验证等级划分：DV、OV 与 EV 证书

根据 CA/Browser Forum 的基准规范，SSL 证书按 CA 机构的身份审核深度分为三个主要等级：

1. DV 证书（Domain Validated - 域名验证型）

DV 证书仅需验证申请者对域名的控制权，通常在几分钟内即可自动签发。

• 特点：成本低、签发快，适合个人博客、测试环境或静态小站。
• 局限：证书内不包含任何企业组织信息，无法用于证明运营主体的真实身份。

2. OV 证书（Organization Validated - 企业验证型）

OV 证书要求 CA 机构严格核验申请企业的工商注册信息、真实办公地址与电话。

• 特点：证书中嵌入经审核的企业名称，用户点击浏览器“安全锁”即可查看企业资质。
• 适用：企业官网、电商平台、SaaS 服务及各类企业级 Web 系统，能显著提升访客信任度。

3. EV 证书（Extended Validation - 增强验证型）

EV 证书代表着极高的审核标准与安全合规级别。

• 特点：执行严格的深度背景调查与年度现场稽核。
• 适用：银行、证券、支付网关及大型金融平台。需注意：EV 证书不支持通配符形态。

有关不同验证等级在申请流程中的详细区别，可查阅 SSL证书选购指南 与 SSL证书类型怎么分？。

按技术结构与应用形态划分

在实际工程部署中，根据业务域名架构的不同，证书衍生出了多种技术形态：

部署完对应类型的证书后，若需配置 HTTP 自动跳转，可参考 网站如何从HTTP更改为HTTPS？。

三、部署证书的硬性技术要求

选型与部署时，建议关注以下几点硬性技术约束：

1. 通配符匹配层级：通配符符号 * 仅能匹配一层子域名。例如 *.example.com 可以保护 blog.example.com，但无法保护 test.blog.example.com。
2. 证书链完整性：无论选用哪种类型的证书，部署时均需确保 Web 服务器正确挂载了中间证书（Intermediate CA）。若中间证书缺失，移动端设备（如 iOS Safari）常会弹窗警告。具体的配置说明参考 SSL证书安装与部署。
3. 报错排查：若部署后浏览器提示连接不受信任，可参考 如何修复SSL证书错误？ 进行排查。

常见问题 FAQ

Q：单域名证书和多域名证书后续可以互相转换吗？

A：不可以。 证书签发后，公钥与 Subject Alternative Name（SAN）扩展字段即已固化。若需变更覆盖域名，必须重新提交申请并重新签发证书。

Q：通配符证书能保护二级及以上的多级子域名吗？（如 api.v1.example.com）

A：不能。 标准通配符 *.example.com 仅匹配一级子域名（如 v1.example.com）。若要保护多级子域名，需要为对应的子级申请独立的通配符证书（如 *.v1.example.com）或改用多域名 SAN 证书。

Q：免费 SSL 证书和付费 SSL 证书在加密强度上有区别吗？

A：在纯技术加密层面（如使用 RSA 2048 位或 ECC P-256 算法），免费与付费证书的加密强度是一致的。主要区别在于身份验证等级（免费证书仅支持 DV 型）、商业保险保障以及权威 CA 机构的售后技术支持。