Zertifikate unterscheiden sich darin, wie viel die Zertifizierungsstelle vor der Ausstellung geprüft hat. Die Verschlüsselung ist in allen dreien identisch — verschieden ist die Prüfung und das, was Browser daraus machen.

DV — domainvalidiert

Der Nachweis, dass Sie die Domain kontrollieren. In Sekunden ausgestellt, automatisch, kostenlos von Let's Encrypt. Das benutzt die überwältigende Mehrheit der Websites, auch die großen.

OV — organisationsvalidiert

Die Stelle prüft zusätzlich, ob das Unternehmen existiert, über Registereinträge und manchmal einen Anruf. Dauert Tage und kostet Geld. Der Firmenname steht im Zertifikat — dort, wo niemand hinsieht.

EV — erweiterte Validierung

Eine schwerere rechtliche Prüfung, mehr Papiere, mehr Tage, mehr Geld. Früher erzeugte das eine grüne Leiste mit dem Firmennamen darin, und genau das war das Verkaufsargument.

Die Browser haben die grüne Leiste entfernt. Chrome, Firefox und Safari zeigen ein EV-Zertifikat genau wie ein DV-Zertifikat, weil Studien zeigten, dass Nutzer es nicht bemerkten, und weil es von eigens dafür gegründeten Firmen missbraucht wurde. Den sichtbaren Vorteil gibt es nicht mehr.

Also welches

  • Fast jede Website — DV, automatisiert, per Timer erneuert. Für einen Besucher ändert sich sonst nichts.
  • Regulierte Branchen — OV oder EV, wo eine Compliance-Vorgabe es ausdrücklich nennt. Das ist ein Papiergrund, kein technischer.

Was Vertrauen tatsächlich beeinflusst

Der Domainname, der Inhalt, eine funktionierende Kontaktseite und eine Website, die nicht kaputt ist. Nichts davon ist eine Eigenschaft eines Zertifikats.

openssl s_client -connect yourdomain.com:443 < /dev/null 2>/dev/null \
  | openssl x509 -noout -subject
# CN and O are all a visitor could see, and they will not look
Stecken Sie das Zertifikatsbudget lieber in die automatische Erneuerung. Ein abgelaufenes EV-Zertifikat ist ein weit schlechteres Erlebnis als ein gültiges DV-Zertifikat — siehe Erneuerung, die stillschweigend scheitert.