SSL 证书中组织单位（OU）字段的弃用，近期成为业界热议话题。申请 SSL 证书时，证书颁发机构（CA）需要一份 CSR（证书签名请求），其中包含一个名为 Organization Unit（OU，组织单位）的字段。OU 表示一个部门、科室或商标。

然而，CA/浏览器论坛决定自 9 月 1 日起从 CSR 中移除 OU 字段，该规定发布于 CA/浏览器论坛基线要求（Baseline Requirement）1.8.1 版本的 7.1.4.2.2 节。

什么是 CSR？

CSR（证书签名请求）是提交给证书颁发机构的初始信息，包含域名、组织名称、地区、州/省、国家、邮箱以及组织单位等详情。CA 据此将信息写入证书。

CA/浏览器论坛为何弃用该字段？

移除 OU 字段的原因在于它容易让人对其确切含义产生混淆——有人理解为部门，有人理解为事业部、品牌或其他含义。许多 SSL 申请者并不清楚"组织单位"究竟指什么，也不知道为何要放进 CSR。此外，该字段在签发时缺乏任何验证环节，在一定程度上造成理解偏差，并拖慢了证书签发流程。

证书颁发机构开始接纳变更

CA/浏览器论坛终结了这一困扰，公开信任的证书颁发机构将不再把 OU 字段写入证书。事实上，许多 CA 早已提前采纳该变更：Sectigo 自 7 月 1 日起按账户逐步移除 OU 字段，DigiCert 则在 8 月移除。若您是私有证书签发者，则不受此修订影响，因为它仅适用于公开信任的证书颁发机构。移除 OU 字段的另一重考量是防止其被网络不法分子及部分申请者滥用。

基线要求如何规定？

基线要求对 organizationalUnitName 主题字段的规定如下：

证书字段：subject:organizationalUnitName（OID: 2.5.4.11）；要求/可选：已弃用。若 subject:organizationName 缺失，或证书于 2022 年 9 月 1 日及之后签发，则禁止包含该字段。内容：CA 应建立流程，防止 OU 属性包含自然人或法律实体的名称、经营别名、商标名、地址、位置或其他指向性文本，除非 CA 已依据第 3.2 节完成验证，且证书同时包含 subject:organizationName、subject:givenName、subject:surname、subject:localityName、subject:countryName 等同样经核验的属性。

移除 OU 字段的好处

移除 OU 部分的主要优势包括：去除冗余细节；让验证流程更顺畅、更快；消除客户认知上的困惑；阻止对公司资料、商标、商号的滥用。

哪些证书会受影响？

任何新申请、续期或重新签发的证书，将不再携带"组织单位"字段；在公告之前已签发的证书不受此修订影响。

您的组织是否会受影响？

该变更不会影响 99.9% 的组织，因为此字段在验证流程中本就非必需。但如果您的公司按部门或员工维度记录 SSL 证书签发情况，则会受到影响。立海世纪欢迎这一变更，期待它能消除客户心中的不确定性，让证书签发更加快速、顺畅。