Сертификатом верхнего уровня можно подписать любой сайт, не только шлюз сбера. Т.е. товарищ майор сможет проксировать (читать и подменять) трафик условного гугла, обычным СОРМом. Браузер нарисует иконку "соединение защищено", хотя если посмотреть данные сертификата условного гугла — там будет стоять минцифра. Но кто это смотрит.

Ну а Вкусвилл, ДНС, Афишу используют чтобы выйти в массы, как раз на тех, кто не понимает.

Что именно?