In DER ist ein DN eine SEQUENCE von Relative Distinguished Names, jeder davon ein SET aus Attributtyp (einer OID wie 2.5.4.3 für commonName) und Wert. Die String-Form folgt RFC 4514 und beginnt mit dem spezifischsten Teil (CN=example.com,O=Example Inc,C=US), während OpenSSL sie in Kodierungsreihenfolge ausgibt (C = US, O = Example Inc, CN = example.com). Vergleiche bei der Pfadvalidierung nutzen die kodierte Form mit Vergleichsregeln ohne Unterscheidung von Groß- und Kleinschreibung (RFC 5280 §7.1); wer einen Namen aus einem String neu kodiert, kann daher den Kettenaufbau scheitern lassen.
Bei TLS identifiziert der Subject-DN den Server nicht mehr: Browser vergleichen nur subjectAltName, und die Baseline Requirements stufen den commonName im Subject als nicht empfohlen ein und erlauben ihn nur als Kopie eines SAN-Werts. DNs bleiben wichtig für die Verkettung von Aussteller und Subject, für die Details zur Organisation in OV- und EV-Zertifikaten und für Client-Zertifikate, die Benutzerkonten zugeordnet werden.