Он там не нужен, т.к. с него в основном с помощью wget качают.

https нужен всегда, иначе тебе в тарболл который ты скачаешь своим wget’ом запросто подпихнут трояна.

Разве? Вроде только грозились.

Разве?

А то. Для всех сертификатов выпущенных после Мая 2018 вроде как, иначе будет NET::ERR_CERTIFICATE_TRANSPARENCY_REQUIRED. Я честно не знаю как оно в Firefox но в хромоноге так.

он лучше HTTPS Everywhere?

В плане провести аудит кода – да. В плане фич – нет. Это компромисс с «не давать разрешения всяким дополнениям к данным любого сайта».

И много дистрибутивов качает по https?

Кто мешает подменить тарбол на сайте? Так обычно и делают.

Это до тех пор, пока дома провайдер не подменяет сертификат или этим не занимается СБ на работе.

Ничоси. 21 век прям.

Это что теперь, запуск отлаживаемого веб-приложения на localhost:5000 будет небезопасным считаться?

По идее не должен, должно быть вшито белым списком.

R.I.P. http://www.lenna.org/len_std.jpg

Связанные с индикаторами изменения войдут в состав выпуска Firefox 70, намеченного на 22 октября.

Вкратце: теперь все http и ftp страницы будут в строке помечаться не безопасными, вот так:

Полумеры. Надо как в Chrome - перестать грузить картинки по HTTP

Wanted to let everyone know that Google Chrome is making some changes over the coming months which will impact this site’s ability for images to show up properly. Previously, it was possible to have an image whose URL starts with http:// to be embedded on a https:// page. However, in a few months, that will no longer work. This means that any images embedded with the [img] tag that are using a http:// URL (no s at the end) will not load, unless you explicitly allow it, and at some point the possibility to override the setting will go away altogether.

What you can do: On all future posts, make sure to use https:// links/URLs instead of http://. Imgur supports https, as well as many other websites. I will be making a future post once it is decided how we want to handle user avatars, however in the meantime you should make sure those use https:// links as well for it to load properly.

Детали - https://www.howtogeek.com/443032/what-is-mixed-content-and-why-is-chrome-blocking-it/

https://support.mozilla.org/ru/kb/kak-nebezopasnyj-kontent-mozhet-povliyat-na-moyu-b

Тут еще и деление на активное и пассивное, можно управлять блокировкой по желанию пользователя.

Насчёт последнего они зря. EV-сертификаты должны как-то выделяться в браузере, см. казахстанский кейс.