Cuando Google Chrome instauró esta medida todavía era bastante habitual encontrarse con sitios web sin certificado SSL TSL. Sin embargo, a día de hoy resulta realmente inusual encontrarse con páginas que no cuenten con el mismo, especialmente si hablamos de webs profesionales, ya que en las personales sí que es más probable, aún a día de hoy, encontrarse con esta circunstancia. En esos casos, el candado es sustituido por una señal de alerta (un signo de cierre de admiración dentro de un triángulo acompañado del texto «No es seguro»).

Ocurre, sin embargo, que el hecho de que una página web cuente con un certificado SSL no acredita, necesariamente, que sea segura y fiable. Y este matiz, que en un primer momento puede parecer un detalle menor, en realidad tiene mucha más importancia de la que parece. ¿Por qué? Porque interpretar el candado como una señal de que podemos confiar ciegamente en lo que tenemos delante supone una amenaza de seguridad, por una falsa sensación de seguridad.

«El ícono de candado tiene la intención de indicar que la conexión de red es un canal seguro entre el navegador y el sitio y que la conexión de red no puede ser manipulada o espiada por terceros, pero es un remanente de una era en la que HTTPS era poco común. HTTPS era originalmente tan raro que, en un momento, Internet Explorer mostró una alerta a los usuarios para notificarles que la conexión estaba protegida por HTTPS, lo que recuerda a la alarma «Todo está bien» de Los Simpson. Cuando HTTPS era raro, el icono de candado llamaba la atención sobre las protecciones adicionales proporcionadas por HTTPS. Hoy en día, esto ya no es cierto, y HTTPS es la norma, no la excepción, y Chrome ha evolucionado en consecuencia.»

«Por ejemplo: sabemos que el ícono del candado no indica la confiabilidad del sitio web . Rediseñamos el ícono del candado en 2016 después de que nuestra investigación mostrara que muchos usuarios no entendieron lo que transmitía el ícono. A pesar de nuestros mejores esfuerzos, nuestra investigación en 2021 mostró que solo el 11 % de los participantes del estudio entendieron correctamente el significado preciso del ícono de candado . Este malentendido no es inofensivo: casi todos los sitios de phishing usan HTTPS y, por lo tanto, también muestran el ícono de candado. Los malentendidos son tan generalizados que muchas organizaciones, incluido el FBI , publican instrucciones explícitas de que el icono del candado no es un indicador de la seguridad del sitio web.»

Así, eliminarlo, sustituyéndolo por otro que se asocia con ajustes y configuración, evitará el exceso de confianza que ocasiona el candado. El candado, eso sí, se seguirá mostrando cuando hagamos click en el nuevo icono, ahora junto al texto «La conexión es segura», lo que proporciona una información más clara al respecto

Google, Mozilla y otras empresas realizaron campañas para impulsar la adopción de HTTPS. Las advertencias de "Sitio no seguro" o las webs con fondo rojo surtieron efecto y la adopción pasó de 48% (diciembre 2013) a 95% (abril de 2023). Con ello, la utilidad del candado pasó a segundo plano, aunque se mantiene como acceso a otros controles de seguridad del sitio.

Fuentes: