Door Anoniem: Doen de amerikanen toch al veel langer. Waarom denk je dat chrome het certificate heeft gepinned voor google.com? Betekend maar een ding, google vertrouwd alle certificate providers niet. Of Chrome voor *.google.* een uitzondering maakt, weet ik niet, maar support voor HPKP is deels uitgezet in recente browsers. Onderaan https://developer.mozilla.org/en-US/docs/Web/HTTP/Public_Key_Pinning: Firefox and Chrome disable pin validation for pinned hosts whose validated certificate chain terminates at a user-defined trust anchor (rather than a built-in trust anchor). This means that for users who imported custom root certificates all pinning violations are ignored. Met andere woorden, alleen als een andere door besturingssystemen/browsers vertrouwde certificaatuitgever dan voor *.google.* gebruikt wordt, onterecht daar een certificaat voor uitgeeft (zoals destijds DigiNotar), wordt er alarm geslagen. Als een *.google.* MitM (lokale antivirus, bedrijfsproxy of land-breed zoals in Kazachstan) een vals ...