Und elliptische Kurven verwenden für den privaten Schlüssel.
Das ist nach CA/B-Forum jedenfalls eine angemessene Validierung der Kontrolle über die Domain und hostmaster@ als Localpart ist nach RFC 2142 als Role-Account spezifiziert. Sehe ich jetzt auch nicht als unsicherer an als eine DNS- oder HTTP-basierte Validierung.
Mein Unternehmenskonto war danach für EV Zertifikate validiert. Die werden sicher auch noch eine intensive Google Recherche drauf gelegt haben. Klar reicht es aus aber es ist vielleicht nicht unbedingt das was sich manch einer unter einer Prüfung von EV Zertifikate vorstellt. 🤷