每个人都可以，
拥有SSL证书

Dallas Kashuba那篇《EV SSL Certificates: The Security Equivalent of a Gold Toilet》在证书圈子炸了锅。老哥把扩展验证证书比作黄金马桶，话糙理不糙。CA机构收着比DV贵几十倍的钱，做完公司名称、运营地址、电话号码、域名所有权一堆法律核验，结果主流浏览器早就不在地址栏展示那个绿色公司名了。

用户看到的锁头标识，DV证书也有。

这事值得运维和安全团队琢磨。证书验证级别到底验证了什么，浏览器不认的验证对业务有没有用，钱和人力该往哪投。

证书圈常说的DV、OV、EV，区别就在验证深度。DV域名验证只确认你对域名有控制权，往指定路径放个文件或者加条TXT记录，几分钟搞定。OV组织验证会多查一层企业工商信息，证书里带上公司名。

EV的核验最重，人工审核法律文件、回拨电话确认运营地址，签发周期拖到几天。

打个比方，DV像门口便利店买烟，查你身份证年龄够不够就行。

OV像银行开对公账户，得拿营业执照。EV像买黄金马桶，进货单、安装资质、物业证明全都交一遍，最后装家里，客人来了压根不看。

浏览器不展示EV身份这事，Netscape和IE时代的老运维应该有印象。当年地址栏变成绿色，公司名直接显示出来，确实能唬住一批钓鱼网站。

后来Google Chrome在2019年率先砍掉EV标识，Safari、Firefox跟着改，理由就一条：普通用户分不清地址栏公司名和网站实际运营主体的关系，证书里写着Apple Inc.，页面内容随便挂个假客服电话，照样骗人。

所以Dallas Kashuba说的对。对绝大多数网站，EV多出来的法律核验价值微乎其微。钱花在证书验证等级上，不如花在证书生命周期管理上。我见过太多线上事故，不是证书级别不够，是证书过期了没人续，或者私钥泄露了没轮换，或者新域名上线手动申请证书，配置里写死路径，换台机器就挂。

企业真正的痛点是证书数量暴涨以后的手工管理。一个业务线几十个子域名，加上测试环境、内部API、CDN回源，证书动不动上百张。

三个月有效期的Let's Encrypt证书，靠人肉盯着到期时间，脚本cronjob跑续期，日志里一堆failed to renew的报错没人看，哪天业务突然全挂。

lcjmSSL这种平台在这块做得比较直给。

免费签DV证书，支持多域名、泛域名、IP证书，自动申请、验证、部署，提供API对接CI/CD流程。底层走ACME协议，对接Let's Encrypt、Google Trust Services、ZeroSSL这些公开CA，没有黑盒操作。对运维来说，证书从申请到续期到部署的整个链路变成代码里的一段配置，不用再开网页填表单，也不用半夜爬起来处理证书过期告警。

ACME协议本身不复杂。客户端往CA的directory接口发个POST，拿nonce，做JWS签名，完成http-01或者dns-01挑战，证书就下来了。随便抓一段续期失败的报错，多半是权限问题或者DNS记录没生效。

自动化做好以后，这类错误会以告警形式出现在日志里，而不是变成用户浏览器里的红色警告页。

回到那个黄金马桶的比喻。EV证书不是一无是处，金融、政务类业务需要满足合规要求，该上还得上。但对跑在公有云上的互联网业务，把预算从EV验证费转到自动化和监控上，回报率高得多。

Dallas Kashuba文章最后更新在2026年8月24日，三年过去了，浏览器不展示EV的决策没回滚，CA机构的EV市场份额也没反弹。

证书管理的未来是代码化的。验证级别够用就行，自动化程度决定你会不会半夜被叫起来。