בלי הצפנה, מי שמצותת לרשת — למשל ב־Wi-Fi ציבורי — יכול לקרוא את מה שנשלח, כולל סיסמאות. עם HTTPS, המידע הופך ל״ג׳יבריש״ שרק המכשיר והאתר יודעים לפענח. בנוסף, האתר מציג ״תעודה״ דיגיטלית שמוכיחה שהוא באמת בעל השם שבכתובת. היום רוב האתרים משתמשים ב־HTTPS, ודפדפנים מזהירים כשאתר לא מאובטח.
אבל חשוב להבין מה המנעול לא אומר: הוא לא אומר שהאתר אמין או ישר. גם אתר מזויף יכול לקבל תעודה ולהציג מנעול — הוא רק מוכיח שהחיבור לאתר בשם הזה מוצפן. לכן המנעול הוא תנאי הכרחי לפני שמזינים סיסמה, אבל לא מספיק: צריך גם לבדוק שזה האתר הנכון.

