> Погоди, а ты хотел указывать гуглю на его домене, в его браузере, как это делать правильно?

извини, но если оно продается мне за $15, это не его домен. В корневом app пусть делают что хотят. Браузеров отличных от гугля у нас уже тоже нет (ок, есть, но модные-современные сайты в IE11 не работают).

> Да зачем? Браузер и так на него убедительно вопит по умолчанию. А

вопли можно заткнуть глобально, политикой, а можно проигнорировать вручную. Гуглошантаж как сейчас модно (необязательно hsts'ный, есть еще "недостаточно безопастные" протоколы", "неправильные" CA и много еще чудных способов) заткнуть нельзя и вручную прооверрайдить тоже, во всяком случае, обычному пользователю.

> Lets encrypt это прекрасно, но что делать в случае какого-нибудь интранетовского
> ресурса, например? Ну там вебморды какой.

мне тут уже пару месяцев назад предметно объясняли - что самовыпилиться, и нанять "типа настоящего" админа, который клик-клик-клик настроит модную-современную получалку LE-сертификатов изолированную от серверов, на который они предназначены к установке. В принципе-то можно, и, наверное, так и придется, рано или поздно.
(у тебя интранет на не-паблик домене? Сам виноват, ибо нефиг - лохи с foo и dev уже попали. Плати бабки. Даже за интранет. А не хочешь менять сертификаты раз в неделю - то и за сертификаты плати.)