FullKettleМожно сделать так, чтобы окно не появлялось?
В последних версий Java скорее всего нет. Лучше на странице подробно описать юзеру что такое может быть и куда нажимать. Там же юзер может поставить галочку всегда доверять сайту.

FullKettleЭто можно сделать программным способом на стороне апплета?
Нет.

FullKettleАпплет подписан.
Купленой подписью?

FullKettleНе знаю какой, не я подписываю, но подпись реальная.

ОК. Просто в зависимости от подписи там будет разный pop-up.

FullKettleА в настройках же проекта можно выставить уровень языка(в соответствии с какой версией Java компилировать).

Это вообще не то и к вопросу отношения не имеет.

FullKettleПользователю понятно на что нажимать, но он не хочет ни на что нажимать - чтобы загрузилась страничка с апплетом и всё.
Не хочет ни на что нажимать - пусть ставит галочку "Always Trust"

Не верите мне, почитайте у других
http://stackoverflow.com/questions/10895943/sign-java-applet-without-security-pop-up

FullKettleДа не, я верю и в курсе, просто ищу подтверждения своим догадкам.

Тут. И по ссылкам пройтись.
http://docs.oracle.com/javase/tutorial/deployment/applet/security.html
Вот тут ещё внизу пара полезных ссылок
https://blogs.oracle.com/java-platform-group/entry/updated_security_baseline_7u45_impacts

FullKettleЧеловек сам и не может нажать, так как всю запускается удаленно.

WTF? Браузер это клиентское приложение. Пользователь работает с браузером. Апплет работает в браузере. Поэтому ваше утверждение мне не понятно.

FullKettleА если выставить "Always Trust" - то и смысла от подписи нет, правильно я понимаю?

Не знаю. Что там в последних версиях. Но, возможно, без подписи этой опции и не будет. Совсем.
Есть пользотватель. Ему, в любом случае, хотя бы один раз, будет показан pop-up. Пользователь может выбрать вариант всегда доверять этому аплету на этом сайте. И больше сообщения не будет.
Запускать без такого сообщения апплет легально нельзя. Можно, если хакнуть Java у пользователя. Или воспользовать какой-либо дырой.

FullKettleВ самом апплете проблемы с безопасностью разруливаются через AccessController.doPrivileged.
Не знаю какое это отношение имеет к вашему вопросу. doPrivileged разруливает ограничение потоков, запущеных из JavaScript.