Que veut dire « certificat refusé » ?

Le domaine répond bien en TLS, et le certificat présenté n'est pas accepté par le magasin de confiance public : expiré, auto-signé, émis pour un autre nom, ou servi avec une chaîne incomplète. La connexion est chiffrée, et le navigateur arrête quand même le visiteur.

Que mesure exactement cet indice ?

La part des domaines .fr servis en HTTPS avec un certificat valide, celle dont le certificat est refusé, celle qui ne répond qu'en clair, et la part des réponses TLS qui portent un en-tête HSTS. Relevé chaque semaine sur un panier figé de 15 000 domaines tirés du fichier open data de l'Afnic.

Pourquoi lire le certificat du domaine plutôt que celui du site d'arrivée ?

Parce que l'adresse tapée est celle du domaine. Un domaine qui redirige vers un autre hôte présente d'abord son propre certificat, et c'est celui-là que le navigateur juge. Lire celui de la destination reviendrait à publier le certificat des grands hébergeurs devant les domaines de leurs clients.

Le chiffrement du parc .fr

Ce qu'un navigateur obtient en ouvrant l'adresse d'un domaine .fr, avant même la page.

Le premier relevé est en cours de publication.

La méthode

Le panier: Le même panier que les autres indices du parc .fr : 15 000 domaines tirés au sort dans le fichier open data de l'Afnic, qui recense les 4 590 553 domaines .fr actifs. Le tirage classe chaque domaine par l'empreinte sha256 de son nom, et la graine publiée suffit à le rebâtir.
La cadence: Chaque domaine est appelé le lundi, dans le passage hebdomadaire qui ouvre déjà le panier. Le panier reste le même d'une semaine à l'autre : un mouvement de la série est une décision du parc.
La lecture: Le verdict vient d'une poignée de main TLS sur le port 443 du domaine tiré, et non de la page qu'il finit par servir. Beaucoup de domaines .fr renvoient leur racine vers un autre hôte, et le certificat lu après la redirection est celui de la destination : la poignée de main séparée garantit que le certificat jugé est bien celui du domaine.
L'en-tête HSTS: Strict-Transport-Security est compté sur les réponses arrivées en TLS, c'est-à-dire sur celles qui pouvaient le porter. Un site qui offre HTTPS et un site qui l'impose sont deux affirmations différentes, et cette part publie la seconde.
L'API: GET https://api.stileex.xyz/v1/series/fr/web-encryption-share/latest

Mesurés sur le même panier, dans le même passage hebdomadaire : Le retard de correctif WordPress en France et Les CMS du parc .fr