Le cadenas dans mon navigateur, ça veut dire quoi exactement ?

Pour aller plus loin

L’icône cadenas dans la barre d’adresse signifie une seule chose précise : la conversation entre votre appareil et le site auquel vous parlez est chiffrée avec TLS (Transport Layer Security — le nom moderne de ce qu’on appelait SSL). Trois garanties en découlent :

1. Confidentialité. Qui se trouve entre les deux — le Wi-Fi du café, le réseau d’entreprise, votre opérateur, qui écouterait le câble — ne voit que du bruit chiffré, pas votre mot de passe ou vos messages.
2. Intégrité. La page que vous recevez n’a pas été modifiée en transit — personne n’a injecté de pub, de malware ou de faux contenu entre le vrai site et vous.
3. Une forme faible d’identité. Le site a présenté un certificat qui prouve qu’il contrôle le domaine affiché dans la barre — paypal.com ne peut pas être servi par quelqu’un qui ne contrôle pas paypal.com.

C’est sur le troisième point que se niche le malentendu. Le certificat prouve que le serveur est le propriétaire légitime de ce domaine précis. Il ne prouve pas que le domaine lui-même est celui que vous croyez. Si vous arrivez sur paypa1.com (avec un chiffre 1 au lieu d’un L), le cadenas apparaîtra, le chiffrement fonctionnera, et vous taperez votre mot de passe chez les attaquants.

Ce que le cadenas ne dit PAS :

• Il ne dit pas que l’entreprise existe vraiment. N’importe qui peut enregistrer un domaine et obtenir un certificat TLS gratuit de Let’s Encrypt en quelques minutes.
• Il ne dit pas que l’entreprise est honnête. Boutiques d’arnaque, fausses banques, vitrines d’arnaques sentimentales ont toutes le cadenas.
• Il ne dit pas que la page est sûre à utiliser. Un site peut être entièrement chiffré et chercher à installer un malware, récupérer votre carte ou faire passer une fausse arnaque à l’investissement.
• Il ne dit pas que le contenu est exact. Le chiffrement protège le transit, pas la véracité.

Comme presque tous les sites sont en HTTPS en 2026, les navigateurs ont largement cessé de mettre en avant le cadenas comme signal positif et préfèrent vous avertir quand il est manquant. La barre d’adresse dans Chrome, Firefox et Safari est désormais optimisée pour la question « à quel domaine est-ce que je parle réellement ? » — c’est cette question qui attrape le phishing.

L’habitude de lecture qui vous protège, à chaque fois :

1. Cherchez le cadenas — mais considérez-le comme une hygiène minimale, pas une preuve.
2. Lisez le domaine de droite à gauche. Trouvez le premier slash. Les deux segments immédiatement à sa gauche sont le vrai domaine. Tout ce qui se trouve avant peut être n’importe quoi.
   • paypal.com/login → le vrai domaine est paypal.com.
   • paypal.com.secure-login-alert.io/reset → le vrai domaine est secure-login-alert.io. Pas PayPal.
   • account.paypal.com/sign-in → toujours paypal.com. C’est bon.
3. Demandez-vous comment vous êtes arrivé sur cette page. Si c’est par un lien dans un e-mail, un SMS ou une pub, traitez la page comme coupable jusqu’à preuve du contraire — même avec le cadenas.

Le cadenas est une fondation, pas un verdict. Tout le reste — phishing, malware, arnaques, faux support — se passe par-dessus des connexions parfaitement chiffrées et cadenassées.