En réponse à j-c.

> l’utilisateur basique n’accepte pas ces certificats, c’est ce que je vois autour de moi.

Ce serait mieux d'avoir des vrais chiffres plutôt que des impressions.
Ces chiffres doivent exister, vu que j'imagine que les sites avec certificats auto-signés doivent voir le pourcentage de visiteurs qu'ils ont perdu.
Mozilla a très sans doute lui aussi ces chiffres, et il en conclut que ce que tu observes est faux (et ça correspond aussi plus à mon observation).

> L’entreprise aura confiance en son certificat.

Ce n'est pas "monsieur Lentreprise" qui travaille, ce sont tout un tas d'employés. Soit tu me dis:
1) le service informatique sera capable d'automatiquement accepter le certificat à la place de l'employé. Mais dans ce cas, soit c'est qu'un grayware peut le faire aussi, soit cela signifie qu'ils ont plus de boulot que de simplement installer le version unbranded.
2) l'employé va faire confiance à son entreprise. Mais c'est un fait: l'utilisateur fait confiance au grayware (sinon, il ne l'installerait pas). Donc, de nouveau, c'est inutile.

> mais un installeur qui modifierait la chaîne de confiance des certificats sans l’accord de l’utilisateur, çà me semble pas légal.

Dans ce cas, une entreprise qui utilise ta technique est elle-même illégale, non ? vu qu'elle décide à la place de l'utilisateur.
Il ne suffit pas de dire "ça me semble pas légal" pour que ça le soit, le problème est souvent une définition où les actions légitimes ne deviennent pas illégales.
Tes propositions sont intéressantes, mais elles m'ont l'air plus compliquées et plus "dangereuses" (dans le sens qu'elles peuvent soit foirer, soit blesser l'écosystème)

> Et en plus je propose le popup/warning pour les certificats qui n’ont été installé par l’utilisateur, comme pour les extensions.

En pratique, comment est-ce possible ?
Sur mon ordinateur, je peux modifier tout les fichiers utilisateurs qui m'appartiennent, sans que cela puisse déclencher une pop-up.
Si je copie mon compte firefox d'une machine à une autre, comment la nouvelle machine sera au courant que la copie est nouvelle ?