Мысли навеяны заявлением мозиловцев, что теперь безопасность будут пихать во все щели: https://blog.mozilla.org/security/2018/01/15/secure-contexts-everywhere/
Обещают, что все новое отныне будут делать, насколько смогут, доступным только для https. Включая новые стили css, заголовки http, фичи жабоскрипта и api браузера для расширений.
Считаю разумным принцип, что забота о чьей-то безопасности только тогда является реально заботой о ней, когда озабочиваемый имеет возможность сознательно отказаться от нее. Если же забота доходит до назойливого навязывания с фактической невозможностью отказа или больших сложностей, то тут что-то уже не правильно и надо посмотреть, а нет ли тут второго (а может и третьего) слоя?
Как минимум вырисовывается интерес сертификатной мафии (боюсь по другому это уже не назвать) широко навязать свои услуги даже тем, кому защита нафиг не вперлась, например, в интранете или для простых сайтов, статических или где заведомо ничего важного нет и не будет. Потому что, например, хром очень не любит самоподписанные сертификаты (да их и вообще мало кто любит).
Let's encrypt - это не совсем решение. Хотя бы потому что де-факто вынуждает ставить на сайт их код, который что-то там выкачивает. Но в принципе можно обойтись и без их кода, все-равно, это какой-то контроль получается и вообще неудобно.
Более дальняя перспектива, это что простейший следующий шаг - это запрос не только клиентом сертификата, но и наоборот, сервером у клиента. Причем, если дойдет до дела, преподнесено это опять будет как «защита». Например, для интернет-банкинга и т.п. В принципе, юзер и сейчас получается при https-соединении уникально идентифицированным (и это не куки) даже за NAT и прокси, правда только в рамках одного сеанса.
Но самое неприятное, что защиты-то особой https и не дает, если можно перехватить DNS-соединение или насовать левых сертификатов на комп, с чем скандальчики уже тоже были. Если конечно, сайт не из тех, что pinned.
То есть, если уж заботиться о безопасности, на текущем этапе надо пропагандировать защиту DNS-соединений.
