В DER отличительное имя (DN) представляет собой SEQUENCE относительных отличительных имён, каждое из которых — SET из типа атрибута (OID, например 2.5.4.3 для commonName) и значения. Строковая форма определена в RFC 4514 и записывается начиная с самого конкретного компонента (CN=example.com,O=Example Inc,C=US), а OpenSSL выводит имя в порядке кодирования (C = US, O = Example Inc, CN = example.com). При проверке цепочки сертификатов имена сравниваются в закодированной форме по правилам сопоставления без учёта регистра (RFC 5280, § 7.1), поэтому повторное кодирование имени из строки может разорвать цепочку.
В TLS сервер больше не идентифицируется по DN субъекта: браузеры сверяют только subjectAltName, а Базовые требования (Baseline Requirements) относят commonName субъекта к нерекомендуемым полям и допускают его только как копию одного из значений SAN. DN по-прежнему важны для построения цепочки по совпадению издателя и субъекта, для сведений об организации в сертификатах OV и EV и для клиентских сертификатов, сопоставленных с учётными записями пользователей.