¿Cómo se justifica el peligro / badidea / thisisunsafe?

Probablemente está dentro de la especificación. La frase es cambiado regularmente , y no es algo por lo que te encuentres por casualidad. Tienes que saber lo que estás buscando (por ejemplo, google 'chrome hsts bypass'), lo que indica que eres consciente del riesgo.

La barra para usar esto es un lote más alto que hacer clic en "Continuar", ya que no está documentado en el mensaje de error que se muestra al usuario.

Además, realmente no hay autoridad certificadora cuando se trata de RFC. Algunas de ellas están abiertas a interpretación, y no hay un organismo oficial que le dirá si cumple con un RFC o no.

En mi opinión, tener una manera de evitarlo para los usuarios que sí entiende que las implicaciones son, ya que hace que sea más fácil de diseccionar si su propio sitio está bajo ataque, o si simplemente está investigando por ejemplo, un ataque de phishing contra su organización.

En resumen, es un acto de equilibrio entre ser imposible y realmente oscuro . Creo que el thisisunsafe es un saldo razonable. Es poco probable que sea utilizado por usuarios desconocidos, pero disponible cuando sea necesario.

Absolutamente, está justificado. El estándar HSTS es estrictamente incorrecto, aunque su redacción exacta agrega al menos dos advertencias que claramente permiten varias opciones, incluidas características "ocultas" como una frase secreta, una bandera de línea de comandos o incluso la capacidad de registrar un sitio. / dirección / certificado / etc. como de confianza. Todo lo que realmente no está permitido es el botón directo "proceder".

Por supuesto, uno solo debe usar cualquier solución alternativa de omisión de seguridad si sabe exactamente lo que está haciendo.

No estoy de acuerdo con que la frase secreta utilizada actualmente por Chrome sea ideal; y creo que la manta --ignore-certificate-errors es un martillo muy grande e inutilizable. Creo que el mecanismo empleado originalmente (al menos en macOS y creo que Windows) mediante el cual un certificado podría registrarse como confiable (quizás solo para sitios y / o usuarios específicos) fue infinitamente mejor, y el hecho de que Chrome ignora silenciosamente tales configuraciones ahora es Comportamiento abominable y un enorme paso en falso de UX.

De hecho, creo que el botón de "proceder de todos modos" solo un poco oculto debería haber permanecido en todas las páginas de advertencia, aunque quizás debería haber pedido su contraseña o alguna otra molestia.

La parte más molesta de la UX actual en Chrome es la estúpida sugerencia inútil de que el usuario pueda "esperar e intentarlo de nuevo".