QWAC
Een door de EU gereguleerd TLS-certificaat dat een website koppelt aan een juridisch geverifieerde organisatie en dat omstredener bleek dan het klinkt.
Het Qualified Website Authentication Certificate kwam in 2014 met de eIDAS-verordening en wordt uitgegeven door gekwalificeerde vertrouwensdienstverleners onder nationaal toezicht. De belangrijkste praktische toepassing kwam met PSD2. Derde partijen die bank-API's aanroepen, identificeren zich met een QWAC in de TLS-handshake, en het certificaat bevat volgens een ETSI-norm zowel hun vergunningsnummer als hun rollen: rekeninginformatie, betalingsinitiatie of kaartuitgifte. De bank ziet wie er verbinding maakt zonder zelf een registratieproces te hoeven draaien.
De ophef ging over browsers. Het ontwerp van eIDAS 2.0 verplichtte hen QWAC-uitgevers te vertrouwen die door overheden zijn goedgekeurd, los van de eigen rootprogramma's van de browsers. In 2023 waarschuwden Mozilla en honderden beveiligingsonderzoekers dat dit de weg opende naar onderschepping door staten. De definitieve tekst van 2024 werd afgezwakt, maar hield de eis vast dat de certificaten worden erkend.