Seu pedido de autenticação CaC será executado assim que a página SSL for solicitada. A maneira como eu consideraria a implementação desse tipo de comportamento seria ter um diretório virtual que não força o SSL (DoD PKI) no botão de login (ou link); use a tela inicial não SSL com o palavreado, em seguida, redirecione via Jquery / javascript (se permitido) após a confirmação.
Assim: JSfiddle