Все SSL-сертификаты шифруют трафик одинаково — разница лишь в том, насколько тщательно удостоверяющий центр (CA) проверил владельца сайта. Понимание этих различий помогает выбрать нужный сертификат.
Сравнение типов SSL
| Параметр | DV | OV | EV |
|---|---|---|---|
| Расшифровка | Domain Validated | Organization Validated | Extended Validation |
| Что проверяется | Только домен | Домен + компания | Полная проверка юрлица |
| Срок выдачи | Минуты | 1–3 дня | 1–2 недели |
| Стоимость/год | Бесплатно–$10 | $50–$300 | $200–$1500 |
| Отображение | 🔒 | 🔒 + инфо о компании | 🔒 + название компании |
| Для кого | Блоги, сервисы | Корпоративные сайты | Банки, платёжные системы |
Domain Validated (DV)
Самый распространённый тип. CA проверяет только то, что вы контролируете домен — через DNS-запись, файл на сервере или email. Let's Encrypt выдаёт DV-сертификаты бесплатно.
Organization Validated (OV)
CA проверяет, что организация реально существует: запрашивает регистрационные документы, проверяет телефонный номер через независимые базы. В сертификате закреплено юридическое название компании.
Extended Validation (EV)
Самая строгая проверка: помимо документов CA может запросить нотариально заверенные бумаги. Раньше браузеры показывали зелёную адресную строку с названием компании. Современные браузеры убрали это отображение, поэтому практическая ценность EV снизилась.
Wildcard и Multi-Domain сертификаты
Это не отдельные типы валидации, а расширения, применимые к DV и OV:
- Wildcard (
*.example.com) — покрывает все поддомены одного уровня - SAN/Multi-Domain — один сертификат для нескольких доменов (
example.com,example.net)
Что выбрать для хостинга ZevsHost
На всех наших тарифах доступны бесплатные Let's Encrypt DV-сертификаты с автопродлением. Для корпоративных сайтов с OV/EV — установка вашего сертификата через cPanel → SSL/TLS.
Частые ошибки при выпуске и установке сертификата
Domain validation failed: DNS record not found
NET::ERR_CERT_AUTHORITY_INVALID
SSL certificate problem: unable to get local issuer certificate
Certificate name mismatch| Сообщение | Причина | Решение |
|---|---|---|
| Domain validation failed: DNS record not found | CA не нашёл TXT- или CNAME-запись, подтверждающую владение доменом, — запись не добавлена или ещё не разошлась по DNS | Проверить запись через dig TXT _acme-challenge.example.com, подождать распространения DNS перед повтором |
| NET::ERR_CERT_AUTHORITY_INVALID | Браузер не доверяет CA, выпустившему сертификат, — часто это самоподписанный сертификат вместо DV/OV/EV от публичного CA | Установить сертификат от доверенного CA (например, Let's Encrypt), а не самоподписанный |
| SSL certificate problem: unable to get local issuer certificate | На сервере не установлена промежуточная (intermediate) цепочка сертификатов, только конечный сертификат | Установить full chain — сертификат вместе с промежуточным CA, а не отдельно |
| Certificate name mismatch | Сертификат выписан на другое имя домена (например, без www, когда сайт открывают с www) | Перевыпустить сертификат с нужными SAN-именами или включить оба варианта домена в запрос |
Стоимость и скорость: DV, OV, EV на практике
| Параметр | DV | OV | EV |
|---|---|---|---|
| Автоматизация выпуска через ACME | Полная — Let's Encrypt, ZeroSSL | Нет, только вручную через CA | Нет, только вручную через CA |
| Нужны ли документы компании | Нет | Да, выписка из реестра, телефон компании | Да, плюс нотариальные документы |
| Подходит для Wildcard | Да, включая бесплатные CA | Да, но дороже и дольше | Обычно не предлагается для wildcard |
Когда DV не подходит и нужен OV или EV
- Регуляторные требования отрасли (финансовые организации, платёжные системы) явно требуют OV или EV в договоре с партнёром или процессинговым центром
- Клиенты или партнёры проверяют юридическое название компании в самом сертификате перед интеграцией по API — DV этого поля не содержит
- Внутренняя политика безопасности компании требует ручной проверки личности перед выдачей сертификата, а не только контроля над DNS-записью
- Нужен статичный «печатный» сертификат сроком на годы вперёд без автопродления — DV-сертификаты Let's Encrypt выдаются максимум на 90 дней и рассчитаны на автоматизацию
Как проверить установленный сертификат
# Срок действия и издатель прямо с сервера
openssl s_client -connect yourdomain.com:443 -servername yourdomain.com </dev/null 2>/dev/null | openssl x509 -noout -dates -issuer
# Полная цепочка сертификатов, отдаваемая сервером
openssl s_client -connect yourdomain.com:443 -servername yourdomain.com -showcerts </dev/null- Проверьте срок действия (
notAfter) — для DV Let's Encrypt он не должен превышать 90 дней от даты выпуска - Убедитесь, что издатель (
issuer) — публичный доверенный CA, а не «self-signed» и не внутренний CA компании - Проверьте, что сервер отдаёт полную цепочку, а не только конечный сертификат — иначе часть браузеров и все curl/wget без флагов покажут ошибку доверия
- Откройте сайт в браузере и убедитесь, что нет предупреждения о смешанном контенте (Mixed Content) — оно означает, что часть ресурсов страницы всё ещё грузится по HTTP
Автоматическое продление Let's Encrypt и обработку wildcard-доменов разбирает статья Let's Encrypt wildcard с автопродлением, а требование CAA-записи для выпуска сертификата конкретным CA — материал CAA-запись для SSL.