En DER, un DN es una SEQUENCE de nombres distintivos relativos, cada uno de ellos un SET de tipo de atributo (un OID como 2.5.4.3 para commonName) y valor. Su forma de cadena sigue el RFC 4514 y se escribe empezando por el elemento más específico (CN=example.com,O=Example Inc,C=US), mientras que OpenSSL la imprime en el orden de codificación (C = US, O = Example Inc, CN = example.com). Las comparaciones durante la validación de la ruta usan la forma codificada con reglas de coincidencia que no distinguen mayúsculas de minúsculas (RFC 5280 §7.1), así que volver a codificar un nombre a partir de una cadena puede romper cadenas de certificados.
En TLS, el DN del sujeto ya no identifica al servidor: los navegadores solo comparan con subjectAltName, y los Baseline Requirements marcan el commonName del sujeto como no recomendado y solo lo permiten como copia de un valor del SAN. Los DN siguen importando para encadenar emisor y sujeto, para los detalles de la organización en los certificados OV y EV, y para los certificados de cliente asociados a cuentas de usuario.