а в браузер на клиентах устанавливаешь ключ твоей CA.
Это требует возни у каждого клиента, причем HTTPS-исключения навсегда (без вопросов при каждом открытии сайта) запоминать умеет только "лиса" - получается, что клиенты привязаны к "лисе" что не всегда приемлемо.