Opvallend vind ik dat "voorkomen van afluisteren" als enige argument wordt genoemd. M.i. zijn er nog twee (onderling gerelateerde) argumenten: (1) Als bezoeker van een https site met een commercieel certificaat heb je enige zekerheid dat je daadwerkelijk communiceert met de server waarvan de domeinnaam in de URL-balk van jouw webbrowser wordt getoond. Ook als je alleen maar informatie leest via http kunnen aanvallers jou op het verkeerde been zetten door jou (deels) andere informatie te laten zien dan gepubliceerd door de bedoelde website, bijv. via een DNS aanval en/of netwerk MitM (Man-in-the-Middle) aanval. Denk o.a. aan vervalste links naar "meer informatie". (2) Het bovenstaande geldt in principe ook voor Google bots. Voorbeeld: berichten op security.nl zijn heel snel in Google terug te vinden (dus ook links in die berichten) met soms slechts enkele keywords. Dat betekent dat de bot vaak "voorbij komt" en Google relatief veel waarde hecht aan de informatie. Aanvallers die via DNS manipulatie de Google ...