Los certificados se diferencian en cuánto comprobó la autoridad antes de emitirlos. El cifrado es idéntico en los tres: lo que varía es la verificación, y lo que los navegadores hacen con ella.
DV: validación de dominio
La prueba de que controlas el dominio. Se emite en segundos, de forma automática y gratuita con Let's Encrypt. Es lo que usa la inmensa mayoría de los sitios, incluidos los grandes.
OV: validación de organización
La autoridad comprueba además que la empresa existe, con registros oficiales y a veces una llamada. Tarda días y cuesta dinero. El nombre de la organización va dentro del certificado, donde nadie mira.
EV: validación extendida
Una comprobación legal más pesada, más documentos, más días, más dinero. Antes producía una barra verde con el nombre de la empresa dentro, y ese era todo el argumento de venta.
Entonces, ¿cuál?
- Casi todos los sitios: DV, automatizado, renovado por un temporizador. Para un visitante no cambia nada más.
- Sectores regulados: OV o EV allí donde un requisito de cumplimiento lo nombre. Ese es un motivo de papeleo, no técnico.
Lo que de verdad afecta a la confianza
El nombre de dominio, el contenido, una página de contacto que funcione y que el sitio no esté roto. Ninguna de estas cosas es una propiedad de un certificado.
openssl s_client -connect yourdomain.com:443 < /dev/null 2>/dev/null \
| openssl x509 -noout -subject
# CN and O are all a visitor could see, and they will not look