QWAC
Un certificato TLS regolamentato dall'UE che lega un sito web a un'organizzazione verificata a norma di legge e che si è rivelato più controverso di quanto sembri.
Il Qualified Website Authentication Certificate è arrivato con il regolamento eIDAS nel 2014 ed è rilasciato da prestatori di servizi fiduciari qualificati sotto vigilanza nazionale. Il suo uso pratico più rilevante è venuto con la PSD2. I fornitori terzi che chiamano le API delle banche si identificano con un QWAC nell'handshake TLS, e il certificato riporta, secondo uno standard ETSI, sia il loro numero di autorizzazione sia i loro ruoli: informazioni sui conti, disposizione di pagamenti o emissione di carte. La banca vede chi si sta collegando senza dover gestire una propria procedura di registrazione.
La battaglia riguardava i browser. La bozza di eIDAS 2.0 imponeva loro di fidarsi degli emittenti di QWAC approvati dai governi, a prescindere dai propri programmi di certificati radice. Nel 2023 Mozilla e centinaia di ricercatori di sicurezza hanno avvertito che ciò apriva la strada all'intercettazione da parte degli Stati. Il testo finale del 2024 è stato attenuato, ma ha mantenuto l'obbligo di riconoscere i certificati.