Aucun moyen de savoir l'identité du serveur, donc vulnérable à l'homme du milieu;

Exactement!

Pas d'improvisation en matière de sécurité.

Utilisez les outils standard :
- S/MIME, GPG pour les messages
- TLS pour les connexions
- HTTPS pour les pages Web, avec tous les composants en HTTPS, avec tous les cookies HTTP en secure
etc.