Risposte:
L'unico motivo per cui le aziende addebitano i certificati SSL è che dedicano tempo e sforzi alla creazione del certificato e si aspettano di essere pagati per il loro lavoro (con profitto ovviamente). Ma non devono pagare se non vogliono fare proprio come può fare un fornitore di servizi gratuito. Ciò che conta con i certificati SSL è se i principali produttori di browser riconoscono gli emittenti di certificati come affidabili o meno. In tal caso, il browser visualizzerà il sito come sicuro come farebbe con qualsiasi altro provider riconosciuto. In caso contrario, nessun utente che tenta di accedere a una pagina Web protetta dal certificato non riconosciuto visualizzerà un avviso che informa che il certificato non è riconosciuto e li avverte di non procedere.
Quindi la vera domanda è: "quali servizi gratuiti sono riconosciuti dai principali produttori di browser come autorevoli"?
Dai un'occhiata a Wikipedia per un buon confronto tra i servizi SSL. Sembra che startcom abbia un servizio di certificazione SSL gratuito riconosciuto da IE, FF e Safari.
Ho il sospetto che ci siano altri servizi simili in giro. Il problema principale è trovare provider supportati dai browser moderni. Avere un browser avvisa l'utente che il certificato non è affidabile è peggio che non avere un certificato, dal punto di vista della conversione e delle vendite.
L'infrastruttura a chiave pubblica dipende da una terza parte attendibile che verificherà e quindi potrà avallare la tua identità.
Quando paghi un'autorità di certificazione importante come Verisign per un certificato, stai pagando per la loro reputazione di terza parte affidabile e affidabile che può approvare la validità della tua identità e del tuo certificato. Da un punto di vista pratico, ciò significa che i principali browser sono preconfigurati per fidarsi dei certificati firmati da tali autorità.
Posso creare un certificato per te gratuitamente, ma sarà relativamente inutile, perché nessuno sa chi sono e quindi la mia approvazione non dà loro alcuna fiducia.