DV、OV、EV は、認証局が TLS 証明書を発行する前にどこまで確認したかを表します。ドメイン認証（DV）はドメイン名を管理していることを証明し、組織認証（OV）はそれに企業の法的な身元を加え、EV 認証（Extended Validation）は別のガイドラインに基づく、より厳格な身元確認を加えます。暗号の仕組みは同じで、ブラウザーは 3 つを同じように表示します。2019年以降、この違いが主に意味を持つのは、証明書の詳細を読む人やシステムにとってです。
比較表
| DV | OV | EV | |
|---|---|---|---|
| CA が確認する内容 | 各ドメイン名の管理権限 | ドメインの管理権限に加え、組織の法的な実在、名称、所在地 | OV の確認項目に加え、登録番号、管轄区域、事業の実在、申請者の権限 |
| 規定 | Baseline Requirements §3.2.2.4 | Baseline Requirements §3.2.2.1〜§3.2.2.3 | CA/Browser Forum の EV ガイドライン |
| ポリシー OID | 2.23.140.1.2.1 | 2.23.140.1.2.2 | 2.23.140.1.1 |
| サブジェクトのフィールド | 通常は CN のみ（名前は SAN に記載） | O、L、ST、C | さらに businessCategory、jurisdictionC、serialNumber（登録番号） |
| 発行にかかる時間 | 数秒〜数分（ACME） | 初回の審査では通常数時間〜数日 | 通常数日 |
| 自動化 | 完全（ACME） | 部分的（身元の審査は一度だけで、以後は再利用） | 部分的 |
| 認証データの再利用期間（2026年3月15日から） | ドメインの管理権限：200 日（2029年3月に 10 日へ短縮） | 組織の身元情報：398 日 | EV ガイドラインで規定 |
| 証明書の最大有効期間 | 現在は 200 日、2027年3月から 100 日、2029年3月から 47 日 | 同左 | 同左 |
| ブラウザーのアドレスバー | 鍵マーク | 鍵マーク | 鍵マーク（EV の表示は削除済み：2018年に Safari 12、2019年に Chrome 77 と Firefox 70） |
各レベルが証明するもの
ドメイン認証は、証明書を申請した者がその時点でドメインを管理していたことを証明します。方法は、HTTP でトークンを提供する（http-01）、DNS の TXT レコードを公開する（dns-01）、TLS-ALPN チャレンジに応答する、または Baseline Requirements §3.2.2.4 に記載されたその他の方法のいずれかです。2025年からは、CA はこれらの確認を複数のネットワーク視点から裏付けなければならないため、単一の観測地点に向けて DNS や BGP ルーティングを乗っ取るだけでは、もう証明書を取得できません。DV 証明書は、誰がサイトを運営しているかについては何も示しません。フィッシング用のドメインでも、銀行と同じくらい簡単に取得できます。
組織認証は、公的な登記情報や確認済みの連絡先との照合を経て、申請者の確認済みの法人名、所在地（市区町村）、国を証明書のサブジェクトに加えます。EV 認証は、登録番号、設立地の管轄区域、事業の実在、申請を承認する人物の検証までを対象とする、より厳格で手順の定められたプロセスを適用し、その結果を専用のサブジェクト属性に記録します。
どのレベルでも証明されないのは、サイトが安全であること、組織が誠実であること、やり取りしている相手が名乗っているとおりの人物であることです。
サイトがどれを使っているかを見分ける方法
証明書ポリシー（Certificate Policies）拡張にあるポリシー OID は認証レベルを示し、サブジェクトは何が確認されたかを示します。次のスクリプトは、稼働中の 3 つのサイトからその両方を読み取ります（2026年10月20日に OpenSSL 3.6.5 で実行）。
for host in letsencrypt.org www.microsoft.com www.paypal.com; do
echo "== $host"
openssl s_client -connect "$host:443" -servername "$host" </dev/null 2>/dev/null \
| openssl x509 -noout -subject -ext certificatePolicies
done
== letsencrypt.org
subject=CN=letsencrypt.org
X509v3 Certificate Policies:
Policy: 2.23.140.1.2.1
== www.microsoft.com
subject=C=US, ST=WA, L=Redmond, O=Microsoft Corporation, CN=www.microsoft.com
X509v3 Certificate Policies:
Policy: 1.3.6.1.4.1.311.76.509.1.1
CPS: http://www.microsoft.com/pkiops/Docs/Repository.htm
Policy: 2.23.140.1.2.2
== www.paypal.com
subject=jurisdictionC=US, jurisdictionST=Delaware, businessCategory=Private Organization, serialNumber=3014267, C=US, ST=California, L=San Jose, O=PayPal, Inc., CN=www.paypal.com
X509v3 Certificate Policies:
Policy: 2.16.840.1.114412.2.1
Policy: 2.23.140.1.1
CPS: http://www.digicert.com/CPS
1 つ目は DV（名前のみ）、2 つ目は OV（組織と所在地）、3 つ目は EV（設立地の管轄区域、事業カテゴリ、登録番号）です。それ以外の OID は、各 CA 独自のポリシー識別子です。証明書デコーダーでは、貼り付けた PEM について同じフィールドを確認できます。
ブラウザーの表示
かつてブラウザーは、EV 証明書を緑色のバーと企業名で表示していました。調査では、ユーザーはこの表示にも、それがないことにもほとんど気付かず、表示を理由に行動を変えることもないとわかりました。また研究者は、法的には別の企業が、有名ブランドと紛らわしいほど似た名前で EV 証明書を取得できることを示しました。Safari 12 は 2018年にアドレスバーから名前の表示を削除し、Chrome 77（2019年9月）と Firefox 70（2019年10月）は EV の詳細をページ情報パネルに移しました。現在は 3 つのレベルとも同じ鍵マークが表示され、組織名はユーザーが証明書の詳細を開いたときにしか表示されません。
運用上の違い
有効期間と認証結果の再利用期間は、どのレベルでも短くなっています。Ballot SC-081v3 により、2026年3月15日以降に発行される証明書の有効期間は最長 200 日となり、2027年3月には 100 日、2029年3月には 47 日に短縮されます。ドメイン認証の結果は現在 200 日間再利用できますが、2029年3月からは 10 日間だけになります。一方、組織の身元情報は 398 日間再利用できます。そのため、すべての公開証明書で更新の自動化が必要になり、OV と EV では同じ自動化に加えて、定期的な身元の再審査の手順が加わります。
ACME 自体が確認するのは、ドメインの管理権限だけです。一部の商用 CA は、External Account Binding（外部アカウントの紐付け、RFC 8555 §7.3.4）によって事前審査済みの組織に紐付けられたアカウントから、OV 証明書や EV 証明書の ACME 注文を受け付けています。これにより企業は、最初に手作業で身元確認を受けた後は、更新を自動化できます。Certificate Transparency（証明書の透明性）は公的に信頼されたすべての TLS 証明書を記録するため、OV 証明書や EV 証明書に含まれる組織情報は、発行された時点で公開されます。
どれを選ぶべきか
- 公開 Web サイトと API：ACME で自動化した DV を使います。浮いた手間は、HSTS、CAA レコード、CT の監視に充ててください。
- 身元が確認された証明書サブジェクトを求める契約、規制当局、取引先（一部の決済、銀行、行政機関との連携）：OV を使い、EV が指定されている場合は EV を使います。
- 証明書の組織名を照合するクライアントシステム：OV を使います。ただし、そうした連携では鍵のピンニングかプライベート CA の利用を優先してください。
- 内部サービスと mTLS：3 つのどれも使わず、プライベート CA を使います。
- コード署名：TLS の OV や EV ではなく、独自の認証ルールとハードウェアで保護された鍵（2023年6月から必須）を伴う別の製品です。
- ブランド保護：EV が対処しようとしていたリスクには、CAA レコード、CT の監視、ドメインポートフォリオの管理のほうが直接的に対処できます。
移行時の注意点
- EV や OV から DV への移行では、通常、サーバー側で証明書以外を変更する必要はありません。同じ名前で DV 証明書を申請し（理想的には ECDSA P-256 の新しい鍵で）、完全なチェーンとともにデプロイして、古い証明書はそのまま期限切れにします。
- サブジェクトのフィールドへの依存関係を確認します。
O=を照合するクライアントの許可リスト、監視ルール、取引先との連携は、DV にすると動作しなくなります。 - まず自動化します。認証レベルにかかわらず、手作業での更新は有効期間 200 日の時点ですでにリスクであり、47 日になれば追いつかなくなります。
- 選んだ CA だけが発行できるよう CAA レコードを設定し、
accounturi（RFC 8657）で自分の ACME アカウントに紐付けます。CAA レコード生成ツールでレコードを作成できます。 - CT を監視します。Certificate Transparency の監視ツールは自分のドメイン名に対して発行された証明書を一覧表示するため、どのレベルであれ予期しない発行に気付けます（開発者のための Certificate Transparency）。