Muitos sites do governo brasileiro costumam não ter certificados de segurança válidos. Exemplos:
https://www.ibama.gov.br/ (validade expirada)
https://www.ibge.gov.br/ (auto-assinado, URL inválida)
https://www.funai.gov.br/ (auto-assinado)
https://www.brasil.gov.br/ (CA desconhecido: ICP-Brasil)
https://www.senado.gov.br/ (CA desconhecido: ICP-Brasil, URL inválida)
Na maioria dos casos o browser diz que o "certificado raiz da autoridade de certificação não é confiável", e outros ainda estão simplesmente com a validade expirada. Essa situação é incomum em sites comerciais, mas de vez em quando também topo com um desses. E naturalmente, eu próprio tenho certa dificuldade de manter os sites que gerencio sempre com certificados válidos.
É necessário que um site tenha certificado válido para que a comunicação com ele seja segura? Por que? Alguns desses sites do governo têm funções muito importantes (ex.: Receita Federal, Ministério do Trabalho, Siape...), é seguro continuar utilizando-os apesar do alerta de segurança apresentado? (alguns chegam mesmo a instruir o usuário a ignorar esses alertas)
Já me foi sugerido (pelo meu antigo provedor de hospedagem) usar certificados do cacert.org em vez de um auto-assinado, pois eles "ainda não são reconhecidos pelos principais browsers, mas muitos sistemas já aceitam" (ou seja, ainda é invalido!). Seria essa uma prática aceitável? Posso simplesmente dizer pros meus usuários ingnorarem o alerta de segurança e pronto, tal como esses sites do governo fazem? Que impactos um certificado inválido tem na segurança de um site?