摘要：企业只有一个官网，证书选择仍要分开判断域名覆盖、组织身份验证和后续维护。仅需建立可信HTTPS连接、且没有额外组织身份要求时，可以评估DV；需要在证书中体现经核验企业身份的长期商业官网，可优先评估OV；客户准入、内部政策明确要求EV，或企业主动采用更严格身份审核时，再评估EV。本文以一个官网采购示例说明具体取舍，并给出可用于询价与验收的检查项。
一个官网不一定要买最贵的证书，也不能只按网站数量挑最低价。对于长期代表企业对外经营的官网，我们建议先评估OV的组织身份验证是否符合业务需要；若需求只是完成HTTPS连接，且没有额外身份要求，DV也可以是合理选择。EV则应有明确的审核或准入依据。
这三个选项并不是三个加密强度档位。在算法、密钥参数和TLS配置相当的前提下，不能因为证书标注EV，就认为传输加密必然比DV更强。企业付出的差价，应当对应能说明用途的身份核验与服务，而不是一个模糊的“更高级”。
01 先把一个官网写成可核对的采购需求
假设一家设备制造企业准备更新官网证书，网站用于展示产品、下载资料和提交询价表单，没有在线支付。网站由建站服务商维护，企业自己管理域名。这是用于说明判断过程的示例，不是客户案例。
如果询价单只写“官网证书一张”，供应商很难判断要覆盖哪些名称、由谁配合验证、签发后谁负责安装。可以先整理成下面这张需求表。
| 要确认的事项 | 这个官网示例中应写清楚的内容 |
| 访问地址 | www.example.com，以及需要通过HTTPS访问或跳转的example.com |
| 网站用途 | 产品展示、资料下载、询价表单；没有在线支付 |
| 身份需求 | 是否需要在证书中体现企业组织信息，客户是否有指定验证等级 |
| 验证配合 | 企业掌握域名管理权限，明确谁能操作DNS或配合其他验证方式 |
| 部署与维护 | 实际终止HTTPS的CDN、网关或服务器由谁管理，谁负责后续换证 |
| 交付标准 | 覆盖约定名称、目标浏览器验证正常、表单与下载可用，并留存续期安排 |
“单域名”说的是名称覆盖范围，DV、OV、EV说的是验证类型，两项应分别选择。www.example.com/download与www.example.com/contact只是同一主机下的不同路径，不会因为页面多就变成多域名需求；login.example.com则是另一个主机名，不能默认已包含。
带www和不带www也要逐项确认。部分产品会同时包含这两个名称，但采购时应要求供应商明确列出，交付后再检查证书的主题备用名称（SAN）字段。跳转前的HTTPS连接同样需要匹配的证书，不能用“最终会跳到www”代替覆盖检查。
02 选DV时要明确接受哪一项身份边界
DV验证申请者对相应域名的控制权，不在证书中提供经过核验的企业组织身份。对于暂时没有组织身份要求、能够自行落实部署和维护的站点，这种选择有实际依据。
例如，一家公司只需要为一个简短的产品展示站建立HTTPS，客户合同没有指定OV或EV，企业也不把证书作为组织身份核验的材料。此时可以评估DV，同时把域名控制、安装验收和续期任务安排清楚。不能仅因为申请者是一家公司，就断言DV在技术上不能使用。
提交询价表单，也不自动等于必须升级EV。 GlobalSign的DV产品资料列举了网页登录等使用场景。真正要核对的是网站及客户是否存在额外身份要求，以及表单本身是否做好权限、输入处理和个人信息保护。换成OV或EV，不会自动补齐这些工作。
选DV的关键是接受其身份边界，并确认没有遗漏明确要求。如果后续客户需要通过证书核对企业名称，原先的“只要HTTPS可用”就不足以支持采购决定，应重新评估OV或EV。
03 长期商业官网为什么值得先评估OV
回到前面的设备制造企业。如果官网是客户查找企业、索取产品资料和联系商务人员的长期入口，企业希望证书中的身份信息能够对应实际经营主体，OV就有清楚的用途。
OV在域名验证之外增加组织身份核验，并在证书中体现经验证的组织信息。GlobalSign的OV产品页也将组织身份作为主要差异。对这家企业而言，购买OV的理由是为官网建立经CA核验的组织身份关联，而不是让相同配置下的HTTPS突然“多一层加密”。
这项价值需要配合实际使用。证书中的组织名称应按可核验资料填写，不应为了贴近页面视觉而随意改成产品名或营销简称。客户查询证书信息时，也应能理解它与官网经营者的关系。浏览器通常不会把企业全称一直显示在地址栏，企业不能把购买OV理解成自动增加一个醒目的广告位。
对外包建站的企业，还要确认申请、验证和私钥保管的分工。服务商可以协助操作，但组织资料、域名控制和申请授权不能因为“网站是他们做的”就无人过问；合同结束后，企业也应能够继续管理证书。
我们的建议是：长期对外经营、希望明确企业组织身份的官网，可把OV作为优先评估项；如果最终选择DV，则应能说明目前不需要组织身份信息的依据。这样，选择记录才能随着业务变化继续复核。
04 EV应当对应明确的审核需要
如果合作方的接入规范明确写了“使用EVSSL证书”，采购就应按该要求核对，并确认申请主体具备相应条件。企业主动采用更严格的身份审核标准，也可以评估EV，而不必等到网站发展成多个域名。
CA/Browser Forum的EV指南对实体存在、经营情况、域名控制以及申请授权等设定了核验要求。它的采购影响很具体：企业需要有人配合核实组织信息和申请权限，并把审核安排进上线计划。不能把付款时间当成必然签发时间，也不应把个别验证方法描述为所有申请者都必须接受的固定步骤。
如果供应商只说“业务比较重要，所以必须买EV”，企业应继续追问：依据的是哪项客户规范、哪份内部政策，还是一种推荐？需要的是更严格的组织核验，还是希望访客看到特殊标识？这两种诉求不能混为一谈。
尤其不能把绿色地址栏作为采购目标。Chromium官方已说明，Chrome从77版本起将EV身份显示移出原先醒目的地址栏位置。EV应按实际验证价值评估，不应承诺购买后一定出现绿条、阻止所有仿冒网站，或带来固定比例的转化提升。
05 比较报价时把后续交付写进去
验证类型确定之后，再把同一范围的报价放在一起比较。下面几个问题，比只问“还能便宜多少”更容易发现实际差别。
报价究竟覆盖哪些名称？ 让供应商写明www与裸域是否都包含，未来新增名称如何处理。不要把“官网一套”当成精确的授权或覆盖说明。
购买周期与单张证书有效期怎样对应？ 一年的服务或订阅，不等于同一张证书连续使用一年。应确认期间如何签发替换证书、是否需要重新配合验证，以及谁把新证书装到线上。GlobalSign官网区分了订阅周期与证书有效期，采购也应分别记录。
安装服务交付到哪里？ 有的报价只包含证书文件，有的包含指定环境的部署协助。应写清CDN、网关、服务器的实际安装对象，以及证书链、域名匹配和业务访问由谁验收。更换建站服务商时，也要说明账号、配置和管理权限如何交接。
续期由谁负责，失败后谁处理？ 一个官网也需要明确的责任人。使用托管换证时，确认服务商的提醒方式、操作范围与异常处理；准备自动化时，再核对所选产品、客户端和部署环境能否完成整条链路，不能把“支持自动申请”当成“线上一定更新”。
需要重签或撤销时怎样办理？ 私钥泄露、名称调整和服务迁移都可能发生。问清申请方式、支持渠道及费用边界，并避免在普通邮件或聊天群中传递私钥。承保金额也不能直接当作网站发生任何损失都会获得的赔付，仍要看适用条款。
对于前面的官网示例，如果没有指定EV的要求，但企业需要可核验的组织身份，可以形成一份具体结论：采购覆盖约定名称的OV证书，由企业配合验证，建站服务商负责指定入口部署，验收后登记后续换证责任。这比单独写“OV适合企业”更能指导执行。
1 企业官网用了DV是不是就选错了 答：不能只凭“企业官网”下结论。应确认是否需要经核验的组织身份，以及客户、合同或内部政策有没有指定要求。DV能支持相应HTTPS连接，但不能代替OV、EV提供的组织身份核验。 2 OV能否解决网页打开时的证书不受信任提示 答：不一定。应先检查证书链、域名匹配、有效期及目标设备的信任情况。提高验证等级不会自动修复安装错误，也不能保证旧设备接受某条证书链。 3 买EV后是否就不用再关注证书更换 答：仍然需要。EV是验证类型，不会免除证书到期、更换、部署和验收工作。应按实际证书有效期安排维护，并确认届时组织资料和申请授权仍然适用。 4 目前只有一个官网是否需要顺便购买通配符 答：先列出实际需要保护的主机名。如果当前名称覆盖已经满足需求，没有确定的新增子域计划，就不必只为“以后可能用到”扩大采购范围。后续增加入口时再比较独立证书、SAN或通配符方案，并核对验证类型与运维边界。 常见问题
资料来源
GlobalSign中国官网：DV、OV、EV采购比较及DV产品说明。
GlobalSign：SSLCertificate Types Explained，验证类型与加密能力说明。
CA/Browser Forum：ExtendedValidation Guidelines，EV身份及申请授权核验要求。