Naja, irgendjemand hat ja das Zertifikat ausgestellt, die sogenannte CA (certificate authority).
Die Browser haben von verschiedenen CAs bereits Root-Zertifikate im Bauch, mit denen dann die Gültigkeit von Website-Zertifikaten überprüft werden kann.
Wenn eine Seite nun ein Zertifikat von einer dem Browser unbekannten CA darbietet (oder ein "self-signed"), dann warnt der Browser eben entsprechend und der Benutzer muss Hand anlegen.
Entweder, indem er die Rootzertifikate der unbekannten CA installiert, oder das angebotene Website-Zertifikat eben einer Whitelist hinzufügt, dass diesem Zertifikat vertraut werden soll...