文章以eMudhra私钥过弱和GoDaddy大规模吊销证书为例，指出Web PKI由众多水平参差的商业CA并联构成，任一CA出问题都可能波及任意域名，整体安全取决于最弱一环。浏览器厂商通过CAA、证书透明度、CRLite等层层打补丁，却边缘化了非Web协议和难以升级的物联网设备。作者认为DNSSEC与DANE虽不优雅，但能将信任收敛回域名层级，值得认真推进。