# Was das Schloss in der Adressleiste wirklich bedeutet

Das Schloss-Symbol bedeutet, dass die Verbindung privat ist, nicht dass die Website vertrauenswürdig ist. Ein paar Einstellungen sorgen dafür, dass das so bleibt.

Das kleine Schloss im Browser bedeutet genau eines. Die Verbindung zwischen Besucher und deiner Website ist verschlüsselt, sodass niemand dazwischen lesen oder verändern kann, was gesendet wird.

Es heißt nicht, dass die Website ehrlich ist, und nicht, dass sie keine anderen Probleme hat. Betrugsseiten bekommen das Schloss auch.

## Was das Schloss funktionieren lässt

Deine Website braucht ein **Zertifikat**, eine kleine Datei, die Browsern beweist, dass sie die echte Website erreicht haben. Die meisten Hoster stellen es aus und erneuern es für dich.

Trotzdem kann drumherum einiges schiefgehen.

* Das Zertifikat deckt `example.com`, aber nicht `www.example.com` ab, deshalb zeigt eine der beiden eine Warnung.
* Die Website antwortet auch auf einfaches `http://`. Ein Besucher, der die Adresse eintippt, landet dann zuerst auf der unverschlüsselten Version.
* Eine Seite lädt ein Skript oder Bild über `http://`, was die ganze Seite schwächt.
* Der Server akzeptiert noch sehr alte Verschlüsselungsversionen.

## Die eine Einstellung, die am meisten hilft

**HSTS** weist Browser an, immer die verschlüsselte Version deiner Website zu verwenden, auch wenn jemand `http://` eintippt. Hat ein Browser es einmal gesehen, wird für diesen Besucher die unverschlüsselte Version nie wieder benutzt.

Ein Scan prüft Zertifikat, Weiterleitung, gemischte Inhalte und HSTS und sagt, welche Teile Aufmerksamkeit brauchen.

> **Try it**
>
> Öffne [deine Feststellungen](/app/findings) und sieh dir die Verbindungsprüfungen an. Jede Korrektur sagt, wo die Einstellung bei gängigen Hostern liegt.