Chrome chiede il permesso prima di aprire siti HTTP, ora per tutti
Chrome ora chiede il permesso all’utente prima di effettuare una connessione HTTP non sicura. Lo annuncia Google nel post del blog di Chrome Security del 21 ottobre 2026: l’impostazione Always Use Secure Connections è stata estesa per impostazione predefinita a tutti gli utenti.
In pratica, chi usa Chrome vede un avviso alla prima visita di un sito senza HTTPS. La protezione esisteva già come opzione attivabile volontariamente ed era stata sperimentata come impostazione predefinita per una piccola percentuale di utenti in Chrome 141. Nel corso del 2026 Google l’ha poi abilitata per impostazione predefinita per gli utenti con la modalità Protezione avanzata di Navigazione sicura (Enhanced Protection). Il post non indica numero di versione né canale di rilascio, e non descrive i passaggi per attivare o disattivare l’impostazione.
Quando compare l’avviso e quando no
Chrome chiede l’approvazione la prima volta che si visita un sito in HTTP. Una volta concesso il permesso, l’avviso non si ripresenta finché l’utente non resta almeno due settimane senza visitare quel sito.
Per impostazione predefinita ci sono delle eccezioni:
- nessun avviso sui siti che non possono ottenere un certificato HTTPS pubblicamente attendibile;
- rientrano qui gli hostname a etichetta singola, come
intranet/, e gli indirizzi IP locali, come192.168.0.1; - Google cita come esempio i router Wi-Fi domestici e dispositivi simili, che usano spesso questi indirizzi.
Secondo Google, questi host sono in genere a rischio più basso, perché per manomettere il traffico l’attaccante dovrebbe trovarsi nella rete locale.
Quanti utenti vedranno l’avviso
Google riporta i dati iniziali del rollout: quasi il 95% degli utenti Chrome su desktop non vede alcun avviso HTTP in una data settimana, e meno dell’1% ne vede tre o più. Su mobile la frequenza degli avvisi è ancora più bassa.
Per l’azienda è l’alta diffusione di HTTPS a rendere possibile il cambio: abilitare gli avvisi non rischia più di stancare gli utenti con segnalazioni troppo frequenti. Google prevede che le percentuali continuino a scendere man mano che altri siti passano a HTTPS.
Perché l’etichetta «Not Secure» non bastava
Secondo Google, finora il segnale più forte che un browser potesse dare senza rovinare la navigazione era l’etichetta «Not Secure». Google indica tre limiti di questo approccio:
- è un avviso passivo, e secondo le ricerche citate da Google può passare inosservato;
- il browser non ha modo di mostrarla sul traffico HTTP di breve durata, come i redirect, anche se i dati dell’utente restano a rischio;
- arriva solo dopo che dati e connessione sono stati esposti, quindi non permette all’utente di evitare l’esposizione.
Il rischio descritto da Google è che una richiesta HTTP non protetta offra a un attaccante l’occasione di iniettare contenuti malevoli nella navigazione, spesso a insaputa dell’utente. Chiedere il consenso prima che la connessione avvenga, scrive l’azienda, dà a chi naviga gli strumenti per restare al sicuro.
Google afferma inoltre che Chrome è il primo browser a introdurre questa modifica e dice di sperare che altri browser si uniscano.
