ну я это и подозревал - там проблема, что сертификаты они перепродают (причем довольно стремных CA...впрочем, а кто теперь не стремные), причем чуть не каждый год - разные (что вызовет вопросы у параноиков вроде меня), да еще и каждый участник сделки оставляет о тебе на память кучу всякой ненужной неудаляемой инфы в своих бездонных big data хренилищах.

так что уже, вероятно, проще сдаться и начать строить свою инфраструктуру выгребания сертификатов с le, отдельно механизм, отдельно то место где эти сертификаты используются (и где нужен root equivalent для примения их сервером), отдельно свои сервера на совсем других хостах. Эта война, как и прочие, нами проиграна.

ну и да - считать любой сайт кроме уцелевших "зелененьких" по определению недоверенным. Кому надо шифрование - современный js вполне способен его обеспечить - end2end, и совершенно независимо от нашлепок над tсp. С аутентификацией пользователем сервера, увы, сложнее (впрочем, разумный справится, а умеющего только синее от зеленого отличать и не жалко совсем).