先搞清楚 SSL 证书是干嘛的
在聊 DV/OV/EV 之前，先快速过一遍 SSL 证书的基本概念。
SSL 证书（现在准确叫法是 TLS 证书，但大家还是习惯叫 SSL）的核心作用是两件事：
1. 加密通信：让你的浏览器和服务器之间的数据传输变成密文，中间人看不懂也改不了。
2. 证明身份：告诉用户"这个网站确实是它声称的那个网站"，而不是某个钓鱼网站假冒的。
第一件事，所有 SSL 证书都能做到。
第二件事，就是 DV、OV、EV 三者的区别所在——它们的核心差异在于"身份验证的严格程度"。
DV 证书：只验证你"拥有"这个域名
DV = Domain Validation，域名验证。
CA（证书颁发机构）只验证一件事：你是不是这个域名的控制者。
怎么验证？一般就是下面几种方式之一：
- 在你的 DNS 记录里加一条特定的 TXT 或 CNAME 记录
- 在网站根目录放一个特定的验证文件
- 接收发到
admin@yourdomain.com的邮件确认
整个过程基本是自动化的，快则几分钟，慢则几个小时，CA 不会管你是谁、公司叫什么、有没有工商执照，反正你能证明自己控制这个域名就行。
DV 证书的样子
在浏览器地址栏里，装了 DV 证书的网站显示的就是一把小锁（不同浏览器随着版本更新可能展示不同），点开之后你能看到证书信息，但里面只有域名，没有组织/公司名称。
DV 的局限
DV 证书不能证明"这个网站属于哪家公司"，它只证明你控制了这个域名。坏人完全可以注册一个 ba1du.com（注意是数字 1 不是字母 i），给它装上 DV 证书，浏览器照样显示小锁，照样是 HTTPS，但它就是个钓鱼网站。
所以，小锁 ≠ 安全，只代表通信加密了。
OV 证书：验证你的组织真实存在
OV = Organization Validation，组织验证。
CA 在颁发 OV 证书之前，除了验证域名控制权，还会核查你的组织信息：
- 企业/组织是否真实存在（通常查营业执照、工商注册信息）
- 组织名称是否与申请信息匹配
- 一般还会电话核实
这个过程需要人工介入，一般需要 1~3 个工作日。
OV 证书的样子
浏览器地址栏的锁和 DV 一模一样，普通用户肉眼看不出区别。但点开证书详情，你能看到 Subject 里多了 组织名称（O 字段），比如 O = Example Inc.。
等等，浏览器显示的一样，那用户怎么分辨？
说实话……普通用户很难直接分辨，这也是 OV 被一些人诟病"鸡肋"的原因之一。OV 的价值更多体现在企业自身的合规要求和技术人员/审计视角。
EV 证书：验证最严格，绿色地址栏（历史）
EV = Extended Validation，扩展验证。
EV 是三种里验证最严格的。CA 会做全面的背景调查：
- 核实企业法律实体信息
- 确认企业运营地址
- 确认申请人有权代表该组织
- 核查各类官方数据库
整个流程可能需要 数天到数周，费用也最贵。
EV 证书的历史：那个消失的绿色地址栏
如果你是 2015 年前后就混互联网的老人，你可能记得那时候一些银行、支付网站的地址栏是绿色的，还会显示公司名称，比如 PayPal, Inc. [US] 直接亮在地址栏里，非常显眼。
这就是 EV 证书曾经的标志性展示。
然而，2018 到 2019 年间，Safari、Chrome、Firefox 陆续取消了 EV 证书的绿色地址栏展示。原因也很直接：研究表明用户根本不关注这个绿色标识，它对防钓鱼几乎没有实际帮助。
现在的 EV 证书，浏览器里和 OV 看起来一样，都是一把锁。点开证书详情才能看到更完整的组织信息。
EV 还值得买吗？
这个问题在安全社区里一直有争论。个人观点：
- 如果你的业务有监管合规要求明确要求使用 EV（比如某些金融行业规范），那买。
- 如果只是为了"显得更安全"或"让用户更信任"，在绿色地址栏消失之后，这个理由已经很弱了。
番外：IP 证书
聊完 DV/OV/EV，顺便说一个也是证书，但平时不常见的——IP 证书。
什么是 IP 证书？
普通的 SSL 证书是颁发给域名的，比如 example.com。但有时候你的服务没有域名，只有一个公网 IP，比如 https://1.2.3.4，这时候如果想上 HTTPS，你需要的就是 IP 证书（也叫 IP SAN 证书）。
什么场景会用到？
- 服务没有域名，只能通过公网 IP 访问
- 物联网设备、设备管理后台直接用公网 IP 对外提供服务
- 某些 B2B 场景，直接 IP 对接
注意，公开 CA 只给公网 IP 签发证书。内网 IP（比如 192.168.x.x）拿不到公开证书，只能用自签证书或自建 CA。
以前 IP 证书基本只有商业 CA 在卖；2026 年 1 月起，Let's Encrypt 也开始免费签发 IP 证书，但有效期只有 6 天左右，必须全自动续期。
DV、OV、EV 与 IP 证书对比
严格来说，IP 证书和 DV/OV/EV 不在同一个维度：DV/OV/EV 按验证级别分，IP 证书按颁发对象分，IP 证书本身也有 DV 和 OV 之分。放在一起对比只是为了方便查阅。
| 对比维度 | DV | OV | EV | IP 证书 |
|---|---|---|---|---|
| 全称 | 域名验证 | 组织验证 | 扩展验证 | IP 地址证书 |
| 颁发对象 | 域名 | 域名 | 域名 | 公网 IP |
| 验证内容 | 域名控制权 | 域名 + 组织真实性 | 域名 + 组织 + 严格法律审查 | IP 控制权（OV 版还会验证组织） |
| 签发速度 | 几分钟～几小时 | 1～3 工作日 | 数天～数周 | DV 几分钟；OV 1～3 工作日 |
| 价格 | 免费或极低 | 中等 | 较贵 | Let's Encrypt 免费（约 6 天有效期）；商业 CA 中等 |
几个常见误区
误区一："免费证书不安全"
错。免费 DV 证书加密强度和付费证书完全一样，很多大厂都在用。免费 vs 付费的区别在于验证级别和商业支持，不在加密强度。
误区二："装了 EV 证书，网站就更安全"
不完全对。EV 提升的是"身份可信度"，不是服务器安全性。你的服务器代码有漏洞，装什么证书都没用。
误区三："HTTPS 的锁就意味着网站可信"
这是最危险的误解。锁只代表通信加密，不代表网站的内容可信或运营者可信。钓鱼网站也可以有 HTTPS。
实际怎么选？
给个简单的决策流程：
你的服务没有域名，只有 IP 地址？
→ 需要 IP 证书，且只支持公网 IP
→ 如果是私有 IP（192.168.x.x / 10.x.x.x），考虑自签证书或自建 CA
有域名的话继续往下看：
你是个人还是小团队，网站不涉及金融/医疗等敏感业务？
→ DV 就够了，直接用 Let's Encrypt 免费的
客户、合作方或采购流程要求证书里带公司信息？
→ 选 OV
你的业务有明确的合规要求（监管文件里写了需要 EV）？
→ 那就 EV
实在不知道该选哪个？我感觉 DV 就够了，毕竟加密强度一样，免费又方便。
总之，DV/OV/EV 的区别在身份验证的严格程度，加密强度是一样的。选哪个，看你的业务需求和合规要求。
如果你还在纠结证书该不该花钱，可以看看另一篇免费 vs 付费 SSL 证书，里面讲了两者在验证级别、信任背书和服务支持上的区别。
如果你决定用免费的 DV 证书，LapseZero 可以把申请、续期和部署都自动化，证书快过期时也会提醒你。