# Qué significa realmente el candado de la barra de direcciones

El icono del candado significa que la conexión es privada, no que el sitio sea de confianza, y algunos ajustes lo mantienen así.

El pequeño candado del navegador significa una sola cosa. La conexión entre el visitante y tu sitio está cifrada, así que nadie en medio puede leer ni cambiar lo que se envía.

No significa que el sitio sea honrado, ni que no tenga otros problemas. Los sitios de estafa también tienen candado.

## Qué hace que funcione el candado

Tu sitio necesita un **certificado**, un pequeño archivo que demuestra a los navegadores que llegaron al sitio real. La mayoría de los alojamientos lo emiten y renuevan por ti.

Aun así, alrededor de él pueden salir mal cosas.

* El certificado cubre `example.com` pero no `www.example.com`, así que uno de los dos muestra una advertencia.
* El sitio también responde por `http://` sin cifrar, y un visitante que escribe la dirección llega primero a la versión sin cifrar.
* Una página carga un script o una imagen por `http://`, lo que debilita toda la página.
* El servidor sigue aceptando versiones muy antiguas del cifrado.

## El ajuste que más ayuda

**HSTS** indica a los navegadores que usen siempre la versión cifrada de tu sitio, aunque alguien escriba `http://`. Una vez que un navegador lo ha visto, la versión sin cifrar nunca vuelve a usarse para ese visitante.

Un escaneo revisa el certificado, la redirección, el contenido mixto y HSTS, y dice qué partes necesitan atención.

> **Try it**
>
> Abre [tus cosas por corregir](/app/findings) y mira las comprobaciones de conexión. Cada corrección indica dónde está el ajuste en los alojamientos habituales.