# Ce que signifie vraiment le cadenas dans la barre d’adresse

L’icône de cadenas indique que la connexion est privée, et non que le site est fiable. Quelques paramètres permettent de le garder ainsi.

Le petit cadenas du navigateur ne signifie qu’une chose. La connexion entre le visiteur et votre site est chiffrée, donc personne au milieu ne peut lire ni modifier ce qui est envoyé.

Cela ne veut pas dire que le site est honnête, ni qu’il n’a aucun autre problème. Les sites frauduleux affichent aussi le cadenas.

## Ce qui fait fonctionner le cadenas

Votre site a besoin d’un **certificat**, un petit fichier qui prouve aux navigateurs qu’ils ont atteint le vrai site. La plupart des hébergeurs en émettent et en renouvellent un pour vous.

Malgré cela, des choses peuvent encore mal se passer.

* Le certificat couvre `example.com` mais pas `www.example.com`, donc l’un des deux affiche un avertissement.
* Le site répond aussi en `http://` simple, et un visiteur qui tape l’adresse arrive d’abord sur la version non chiffrée.
* Une page charge un script ou une image en `http://`, ce qui affaiblit toute la page.
* Le serveur accepte encore des versions très anciennes du chiffrement.

## Le seul paramètre qui aide le plus

**HSTS** indique aux navigateurs de toujours utiliser la version chiffrée de votre site, même si quelqu’un tape `http://`. Une fois qu’un navigateur l’a vu, la version non chiffrée n’est plus jamais utilisée pour ce visiteur.

Une analyse vérifie le certificat, la redirection, le contenu mixte et HSTS, et indique les parties qui demandent de l’attention.

> **Try it**
>
> Ouvrez [vos points à corriger](/app/findings) et regardez les contrôles de connexion. Chaque correction indique où se trouve le paramètre chez les hébergeurs courants.