du sollst nich das wiederholen, was ich dich frage, sondern mir erklären warum der zusammenhang "mitgeliefert => sicher" gilt
ich behaupte, dass es nicht gilt, denn wie man hier im falle CAcert sieht, geht es den nutzern tierisch auf den sack, wenn sie diese https-meldung im browser sehen, und sie sind viel zu faul, das selbst zu implementieren. deswegen akzeptieren browser jeden dreck, damit die nutzer beim browsen mit diesem browser keine unangenehmen erfahrungen machen.
dass CAcert nicht enthalten ist liegt dabei ausschließlich an deren nicht-kommerziellen ausrichtung, sie sind halt keine firma.
ehe du kommst, dass eine firma per default vertrauenswürdig sei, da sei noch mal an diverse datenskandale so ziemlich aller großen firmen in deutschland erinnert. firmen gehts nicht darum, möglichst sicher zu sein, denen gehts um profit, und security ist nicht einfach, kostet daher geld, und steht dem primären ziel (profit) damit eher im weg