En DER, un DN est une SEQUENCE de noms distinctifs relatifs, chacun étant un SET de type d’attribut (un OID comme 2.5.4.3 pour commonName) et de valeur. Sa forme textuelle suit la RFC 4514 et s’écrit en commençant par l’élément le plus spécifique (CN=example.com,O=Example Inc,C=US), alors qu’OpenSSL l’affiche dans l’ordre d’encodage (C = US, O = Example Inc, CN = example.com). Les comparaisons lors de la validation du chemin utilisent la forme encodée, avec des règles de correspondance insensibles à la casse (RFC 5280 §7.1) : réencoder un nom à partir de sa forme textuelle peut donc casser des chaînes de certificats.
Pour TLS, le DN du sujet n’identifie plus le serveur : les navigateurs ne comparent que subjectAltName, et les Baseline Requirements classent le commonName du sujet comme déconseillé, en ne l’autorisant que comme copie d’une valeur du SAN. Les DN restent importants pour le chaînage émetteur–sujet, pour les détails de l’organisation des certificats OV et EV, et pour les certificats clients associés à des comptes utilisateur.