QWAC

適格ウェブサイト認証証明書（Qualified Website Authentication Certificate）は2014年のeIDAS規則で登場し、各国の監督下にある適格トラストサービスプロバイダが発行する。最大の実用例はPSD2だ。銀行APIを呼び出すサードパーティ事業者は、TLSハンドシェイクでQWACを提示して身元を示す。ETSI規格に従い、証明書には免許番号と役割（口座情報、決済指図、カード発行）が含まれる。銀行は独自の登録手続きを運用しなくても、誰が接続してきたかを確認できる。

争点はブラウザだった。eIDAS 2.0の草案は、各ブラウザ自身のルートプログラムとは無関係に、政府が承認した発行者のQWACを信頼するようブラウザに義務づけていた。2023年にMozillaと数百人のセキュリティ研究者が、これは国家による通信傍受への道を開くと警告した。2024年の最終版は表現が和らげられたが、証明書を承認する義務自体は残った。