DER では、DN は相対識別名の SEQUENCE で、各相対識別名は属性型（commonName なら 2.5.4.3 のような OID）と値の SET です。文字列形式は RFC 4514 に従い、最も具体的な要素から順に書きます（CN=example.com,O=Example Inc,C=US）。一方、OpenSSL はエンコード順に表示します（C = US, O = Example Inc, CN = example.com）。パス検証での比較は、エンコードされた形式に対して大文字と小文字を区別しない照合規則（RFC 5280 §7.1）で行われるため、文字列から名前を再エンコードするとチェーンが壊れることがあります。
TLS では、サブジェクトの DN はもはやサーバーを識別しません。ブラウザーが照合するのは subjectAltName だけで、Baseline Requirements はサブジェクトの commonName を非推奨とし、SAN の値のコピーとしてのみ認めています。それでも DN は、発行者とサブジェクトによるチェーンのつながり、OV と EV の組織の詳細情報、ユーザーアカウントに対応付けられたクライアント証明書では引き続き重要です。