I certificati si distinguono per quanto l'ente ha controllato prima di rilasciarli. La cifratura è identica in tutti e tre: a variare sono la verifica e ciò che i browser ne fanno.

DV — verifica del dominio

La prova che il dominio è sotto il tuo controllo. Rilasciato in pochi secondi, in automatico e gratuitamente da Let's Encrypt. È ciò che usa la stragrande maggioranza dei siti, compresi quelli grandi.

OV — verifica dell'organizzazione

L'ente controlla anche che l'azienda esista, tramite registri pubblici e a volte una telefonata. Richiede giorni e costa denaro. Il nome dell'organizzazione sta dentro il certificato, dove non guarda nessuno.

EV — verifica estesa

Un controllo legale più pesante, più documenti, più giorni, più denaro. Un tempo produceva una barra verde con dentro il nome dell'azienda, ed era tutto lì l'argomento di vendita.

I browser hanno tolto la barra verde. Chrome, Firefox e Safari mostrano un certificato EV esattamente come uno DV, perché gli studi hanno dimostrato che gli utenti non se ne accorgevano e perché ne abusavano società registrate apposta per ottenerlo. Il vantaggio visibile non esiste più.

Quale scegliere, dunque

  • Quasi ogni sito — DV, automatico, rinnovato da un temporizzatore. Per un visitatore non cambia nient'altro.
  • Settori regolamentati — OV o EV dove un obbligo di conformità li nomini. È un motivo burocratico, non tecnico.

Cosa incide davvero sulla fiducia

Il nome del dominio, il contenuto, una pagina di contatto che funziona e un sito che non è rotto. Nessuna di queste è una proprietà di un certificato.

openssl s_client -connect yourdomain.com:443 < /dev/null 2>/dev/null \
  | openssl x509 -noout -subject
# CN and O are all a visitor could see, and they will not look
Spendi piuttosto il budget del certificato nel rinnovo automatico. Un certificato EV scaduto è un'esperienza molto peggiore di un DV valido — vedi Il rinnovo che fallisce in silenzio.