Door Erik van Straten: Ik heb hier van begin af aan voor gewaarschuwd, zie bijv. https://www.security.nl/posting/453137/Let%27s+Encrypt+for+Phun+and+Profit Ja, dat heb je. Er is alleen een verschil tussen wat jij vindt dat zo'n certificaat moet doen en wat men bij Let's Encrypt vindt. Wat zij doen is bedoeld om HTTP-verkeer door HTTPS te vervangen, niet om tegelijk ook van al die websites te garanderen dat je met een geverifieerde, laat staan betrouwbare partij praat. Dit soort certificaten bewijst niet meer dan dat je browser praat met een partij die op een gegeven moment kon aantonen controle over dat domein te hebben, meer niet. Dat SSL ooit met meer bombarie en grotere verwachtingen is gepresenteerd is waar. Toen men EV-certificaten introduceerde maakte men daarmee eigenlijk waar wat SSL eigenlijk altijd al had moeten zijn. Alleen heeft geen enkele CA die belofte met gewone certificaten ooit waargemaakt, zoals zo vaak werd het allemaal mooier voorgesteld dan het was. Die geschiedenis ging vooraf aan ...