摘要：DV、OV、EV 主要区分身份验证范围，不能简单理解为加密从弱到强。选型应先看是否需要核实并呈现组织身份，再看业务或接收方是否要求更严格验证，同时另外规划单域名、多域名和通配符等覆盖方式。价格和浏览器外观不应成为唯一判断依据。
选择 SSL 证书时，常见的两个问题其实不在同一条线上：“要不要验证企业身份”和“要覆盖几个域名”。前者涉及 DV、OV、EV，后者涉及单域名、多域名及通配符。先分开，选型就容易很多。
先决定访问者需要核对哪种身份
DV 侧重验证域名控制权。OV 在适用域名验证之外核实组织身份，EV 则使用更严格的组织与授权验证流程。具体证书中包含哪些字段，取决于所选产品及适用要求。
| 类型 | 身份验证重点 | 选型时先确认的问题 |
| DV | 域名控制 | 业务是否只需要相应域名身份与 HTTPS |
| OV | 域名及组织身份 | 是否需要核实并在证书中体现企业主体 |
| EV | 更严格的组织与授权验证 | 业务规则是否要求这一验证等级 |
三者都可以用于相应 TLS 安全连接。实际加密强度还与协议版本、算法、密钥和配置有关，不能按 DV、OV、EV 三个名称排出“低中高加密”。购买更高验证等级，也不能修复服务器仍然使用的错误链或不合适的 TLS 配置。
企业官网不应只拿价格作比较
如果企业希望访问者在证书详情中核对经营主体，OV 值得重点评估。采购前应先确认实际主体名称，避免证书身份与网站介绍、合同主体不一致，却误以为证书购买成功就解决了信任问题。
GlobalSign 提供相应 DV、OV、EV 产品。选择 OV 或 EV 时，企业应准备组织验证配合人员，并将核验安排放入上线计划；不要等到部署当天才决定用哪个主体申请。
是否需要 EV，应结合业务、合作方或内部安全要求判断。不能仅以“企业越大等级越高”决定，也不应承诺 EV 会让现代浏览器统一显示绿色地址栏或企业名称。浏览器的展示方式会变化，核实身份的能力不应与某一种界面效果绑定。
对于只需域名验证的适用入口，企业也可以评估DV。重点是该入口的身份要求是否被满足，而不是认为所有企业都禁止使用 DV，或者所有测试系统都只能使用 DV。
再单独规划名称覆盖
验证等级确定以后，再列出用户实际访问的名称。同一企业可能拥有多个主域名和子域名，证书组合还应考虑变更节奏、私钥隔离及维护责任。
通配符有明确的匹配边界，不能把它当作所有层级子域与根域的通行证；多域名证书则需要核对每个纳入名称和产品限制。GlobalSign 的产品选项也有差异，不能默认 DV、OV、EV 的所有名称选项完全一致。
SAN License 又属于商务订阅方式，与验证等级和一张证书中列出的名称数量不是同一个概念。企业可以分别选择适用的验证产品、部署组合和采购模式，不需要为了订阅而把不同安全边界的系统放到同一张证书里。
上线前做一次与选型有关的验收
验收时不要只看网页能否打开。检查证书是否对应预定组织、名称是否包含实际访问入口、链是否完整，以及目标客户端是否正常验证。若经过CDN 或网关，要查看实际终止 TLS 的位置，不能只检查源站文件。
对于有组织身份要求的业务，可以请非申请人员核对证书详情与主体资料，确认名称没有被内部简称替代。对于多节点业务，应检查不同路径，而不是用一个节点的成功代表全部。
最后将续期负责人和部署关系记录下来。DV 也可能因验证条件变化而无法按时更新，OV、EV 也需要维护身份资料。验证等级解决的是申请和身份要求，不会让任何一种证书免于生命周期管理。
FAQ
Q1：EV 是否意味着比 OV 使用更强的加密？
A：不能这样理解。验证等级与 TLS 的算法、协议和服务配置不是同一个维度，应分别检查。
Q2：OV 验证了企业，旗下全部域名就自动受保护吗？
A：不会。仍要核对域名验证、证书包含的名称和实际部署，组织审核不能替代这些条件。
Q3：现代浏览器没有显示企业名称，是不是 OV、EV 没有作用？
A：不能以一种界面效果判断。可在证书详情等适用位置核对组织信息，同时结合业务要求评估验证等级的价值。
关于 GlobalSign SSL/TLS 产品
GlobalSign 提供 DV、OV、EV 等 SSL/TLS 证书选择，并有相应名称与订阅选项。企业可先明确业务的身份核实要求，再结合部署边界和维护方式选型，使购买的验证等级与实际使用目标一致。
资料来源
GlobalSign SSL/TLS 产品比较
https://www.globalsign.cn/ssl
Atlas 身份配置申请说明
https://docs.globalsign.com/identities/request-identity