Em DER, um DN é uma SEQUENCE de nomes distintos relativos, cada um deles um SET de tipo de atributo (um OID, como 2.5.4.3 para commonName) e valor. Sua forma em string segue a RFC 4514 e é escrita a partir do componente mais específico (CN=example.com,O=Example Inc,C=US), enquanto o OpenSSL o imprime na ordem de codificação (C = US, O = Example Inc, CN = example.com). As comparações na validação de caminho usam a forma codificada, com regras de correspondência que não diferenciam maiúsculas de minúsculas (RFC 5280 §7.1); por isso, recodificar um nome a partir de uma string pode quebrar cadeias.
No TLS, o DN do titular não identifica mais o servidor: os navegadores comparam apenas o subjectAltName, e os Baseline Requirements marcam o commonName do titular como não recomendado, permitindo-o apenas como cópia de um valor de SAN. Os DNs ainda importam para o encadeamento entre emissor e titular, para os detalhes da organização em certificados OV e EV e para certificados de cliente mapeados para contas de usuário.