DV, OV и EV — это уровни того, насколько тщательно центр сертификации (certificate authority, CA) проверил заявителя, прежде чем выпустить TLS-сертификат. Проверка владения доменом (domain validation, DV) подтверждает контроль над именами; проверка организации (organization validation, OV) добавляет проверку идентификационных данных компании как юридического лица; расширенная проверка (extended validation, EV) добавляет ещё более строгую проверку идентификационных данных по отдельным правилам. Криптография у всех трёх одинаковая, браузеры отображают их одинаково, и с 2019 года различия важны в основном людям и системам, которые читают сведения из сертификата.
Коротко о главном
| DV | OV | EV | |
|---|---|---|---|
| Что проверяет CA | Контроль над каждым доменным именем | Контроль над доменом, а также юридическое существование организации, её название и адрес | Всё, что проверяется для OV, а также регистрационный номер, юрисдикцию, фактическую деятельность и полномочия заявителя |
| Правила | Базовые требования (Baseline Requirements), § 3.2.2.4 | Базовые требования, §§ 3.2.2.1–3.2.2.3 | Правила EV (EV Guidelines) CA/Browser Forum |
| OID политики | 2.23.140.1.2.1 | 2.23.140.1.2.2 | 2.23.140.1.1 |
| Поля субъекта | Обычно только CN; имена указаны в SAN | O, L, ST, C | Поля OV, а также businessCategory, jurisdictionC, serialNumber (регистрационный номер) |
| Время выпуска | От секунд до минут (ACME) | Обычно от нескольких часов до нескольких дней при первой проверке | Обычно несколько дней |
| Автоматизация | Полная (ACME) | Частичная: идентификационные данные проверяются один раз, затем используются повторно | Частичная |
| Повторное использование данных проверки (с 15 марта 2026 года) | Контроль над доменом: 200 дней, в марте 2029 года срок сократится до 10 дней | Идентификационные данные организации: 398 дней | Задаётся правилами EV |
| Максимальный срок действия сертификата | Сейчас 200 дней, с марта 2027 года — 100, с марта 2029 года — 47 | То же | То же |
| Адресная строка браузера | Замок | Замок | Замок (индикатор EV убран: в Safari 12 в 2018 году, в Chrome 77 и Firefox 70 в 2019 году) |
Что подтверждает каждый уровень
Проверка владения доменом подтверждает, что тот, кто запросил сертификат, в тот момент контролировал домен: разместил токен, доступный по HTTP (http-01), опубликовал TXT-запись в DNS (dns-01), ответил на проверку TLS-ALPN или прошёл одну из других процедур, перечисленных в Базовых требованиях, § 3.2.2.4. С 2025 года CA обязаны подтверждать результаты этих проверок из нескольких точек сети (network perspectives), поэтому перехвата DNS или маршрутизации BGP в сторону одной точки наблюдения уже недостаточно, чтобы получить сертификат. DV-сертификат ничего не говорит о том, кто управляет сайтом: фишинговый домен получает его так же легко, как банк.
Проверка организации добавляет в субъект сертификата проверенные юридическое название заявителя, населённый пункт и страну — после сверки с официальными реестрами и подтверждения через проверенные контактные данные. Расширенная проверка применяет более строгую процедуру с жёстко предписанными шагами: проверяются регистрационные номера, юрисдикция, в которой зарегистрирована компания, её фактическая деятельность и лицо, утверждающее запрос, а результаты записываются в специальные атрибуты субъекта.
Чего не подтверждает ни один из уровней: что сайт безопасен, что организация честна или что собеседник действительно тот, за кого себя выдаёт.
Как узнать, какой сертификат у сайта
OID политики в расширении Certificate Policies указывает уровень проверки, а субъект показывает, что именно было проверено. Этот скрипт, запущенный 20 октября 2026 года с OpenSSL 3.6.5, читает и то и другое у трёх работающих сайтов.
for host in letsencrypt.org www.microsoft.com www.paypal.com; do
echo "== $host"
openssl s_client -connect "$host:443" -servername "$host" </dev/null 2>/dev/null \
| openssl x509 -noout -subject -ext certificatePolicies
done
== letsencrypt.org
subject=CN=letsencrypt.org
X509v3 Certificate Policies:
Policy: 2.23.140.1.2.1
== www.microsoft.com
subject=C=US, ST=WA, L=Redmond, O=Microsoft Corporation, CN=www.microsoft.com
X509v3 Certificate Policies:
Policy: 1.3.6.1.4.1.311.76.509.1.1
CPS: http://www.microsoft.com/pkiops/Docs/Repository.htm
Policy: 2.23.140.1.2.2
== www.paypal.com
subject=jurisdictionC=US, jurisdictionST=Delaware, businessCategory=Private Organization, serialNumber=3014267, C=US, ST=California, L=San Jose, O=PayPal, Inc., CN=www.paypal.com
X509v3 Certificate Policies:
Policy: 2.16.840.1.114412.2.1
Policy: 2.23.140.1.1
CPS: http://www.digicert.com/CPS
Первый сертификат — DV (только имя), второй — OV (организация и адрес), третий — EV (юрисдикция регистрации, категория бизнеса и регистрационный номер). Дополнительные OID — собственные идентификаторы политик каждого CA. Декодер сертификатов X.509 показывает те же поля для вставленного PEM.
Что показывают браузеры
Когда-то браузеры показывали EV-сертификаты зелёной строкой с названием компании. Исследования показали, что пользователи редко замечали этот индикатор или его отсутствие и не меняли из-за него своё поведение, а исследователи продемонстрировали, что компании, юридически не связанные с владельцами известных брендов, могут получить EV-сертификаты на названия, которые легко спутать с этими брендами. Safari 12 убрал название из адресной строки в 2018 году; Chrome 77 (сентябрь 2019 года) и Firefox 70 (октябрь 2019 года) перенесли подробности EV на панель сведений о странице. Сегодня у всех трёх уровней одинаковый замок, а организация видна, только если пользователь откроет подробности сертификата.
Различия в эксплуатации
Сроки действия сертификатов и периоды повторного использования данных проверки сокращаются для всех. По бюллетеню SC-081v3 сертификаты, выпущенные с 15 марта 2026 года, могут действовать не более 200 дней; в марте 2027 года этот срок сократится до 100 дней, а в марте 2029 года — до 47 дней. Результат проверки владения доменом сейчас можно использовать повторно в течение 200 дней, а с марта 2029 года — только 10 дней, тогда как идентификационные данные организации можно использовать повторно 398 дней. Поэтому каждому публичному сертификату нужно автоматическое продление, а для OV и EV поверх той же автоматизации добавляется периодическая повторная проверка идентификационных данных.
Сам протокол ACME проверяет только контроль над доменом. Некоторые коммерческие CA принимают ACME-заказы на сертификаты OV и EV от аккаунтов, привязанных к заранее проверенной организации с помощью External Account Binding (привязки внешнего аккаунта, RFC 8555, § 7.3.4): так компании могут автоматизировать продление после первоначальной ручной проверки идентификационных данных. Certificate Transparency записывает в журналы каждый публично доверенный TLS-сертификат, поэтому сведения об организации в сертификатах OV и EV становятся публичными сразу после выпуска.
Что когда выбирать
- Публичные сайты и API: DV с автоматизацией через ACME. Сэкономленные усилия потратьте на HSTS, записи CAA и мониторинг CT.
- Договоры, регуляторы или партнёры, которые требуют идентифицированного субъекта сертификата (некоторые платёжные, банковские и государственные интеграции): OV или EV, если требуется именно он.
- Клиентские системы, которые сверяют название организации в сертификате: OV, но для таких интеграций лучше использовать закрепление ключей (pinning) или частный CA.
- Внутренние сервисы и mTLS: ни один из трёх; используйте частный CA.
- Подпись кода: отдельный продукт со своими правилами проверки и ключами в защищённом оборудовании (они обязательны с июня 2023 года), а не TLS-сертификат OV или EV.
- Защита бренда: записи CAA, мониторинг CT и управление портфелем доменов закрывают те риски, ради которых задумывался EV, и делают это более прямым путём.
Заметки о миграции
- Переход с EV или OV на DV обычно не требует на сервере никаких изменений, кроме самого сертификата: запросите DV-сертификат на те же имена (с новым ключом, лучше всего ECDSA P-256), установите его с полной цепочкой и дождитесь, пока истечёт срок действия старого.
- Проверьте зависимости от полей субъекта: разрешающие списки на стороне клиентов, правила мониторинга или интеграции партнёров, которые сверяют
O=, перестанут работать с DV. - Сначала автоматизируйте: ручное продление рискованно уже при сроке 200 дней и не справится при 47 днях, каким бы ни был уровень проверки.
- Настройте записи CAA, чтобы выпускать сертификаты могли только выбранные вами CA, и привяжите их к своему ACME-аккаунту с помощью
accounturi(RFC 8657); генератор записей CAA составит такие записи. - Следите за CT: монитор Certificate Transparency показывает сертификаты, выпущенные на ваши имена, поэтому неожиданный выпуск на любом уровне не останется незамеченным (Certificate Transparency для разработчиков).
Источники
- Базовые требования CA/Browser Forum (§ 3.2.2, § 3.2.2.4, § 7.1.6.1)
- Правила EV (EV Guidelines) CA/Browser Forum
- Бюллетень SC-081v3: сокращение сроков действия и повторного использования данных
- Бюллетень SC-067v3: подтверждение выпуска из нескольких точек сети
- RFC 8555: ACME
- RFC 8659: CAA и RFC 8657: привязка CAA к аккаунту