Door Reinder: [...] verplicht [...] alle certificaten van <overheidsdienst> accepteren [...] Wat is het verschil met: [...] verplicht [...] alle certificaten van <Google> accepteren [...] ? De laatste jaren dicteert Google het beleid t.a.v. certificaten. Zelf geeft zij ook certificaten uit, verhuurt het gebruiksrecht van domeinnamen en "claimt" het ene na het andere TLD (gisteren nog benoemd: https://www.security.nl/posting/816726/Google+lanceert+_ing+topleveldomein+met+verplicht+gebruik+van+HTTPS). In https://crt.sh/?q=get.ing kun je zien dat Google certificaten aan zichzelf uitdeelt. Nb. op dit moment betreffen slechts 3 van de 29 entries geldige certificaten (10613142934, 10870391963 en 10966266215); de rest zijn precertificates (merk op hoe lang het duurt voordat geldige certificaten worden gelogd in deze "ledger"). In https://crt.sh/?id=10966266215, momenteel het bovenste certificaat, zie je de domeinnamen waar dit certificaat geldig voor is. Daaruit maak ik op dat Google in elk geval de volgende ...