Google planea cambiar la configuración predeterminada del navegador Chrome con el lanzamiento de Chrome 154 en octubre de 2026, para habilitar la opción «Usar siempre conexiones seguras» en su modalidad destinada a los sitios públicos. Con el cambio, Chrome solicitará el permiso del usuario antes del primer acceso a un sitio público que no utilice HTTPS, en lugar de permitir que la conexión no cifrada se inicie sin una advertencia previa.
Los equipos de Chrome Security afirman que las conexiones mediante HTTP pueden permitir que un atacante secuestre la sesión de navegación y obligue al usuario a cargar recursos bajo su control, lo que podría exponerlo a malware, exploits dirigidos o ataques de ingeniería social. El problema se complica porque muchos sitios HTTP redirigen inmediatamente a HTTPS, lo que hace que la conexión insegura sea invisible para el usuario antes de que ocurra el riesgo.
De una opción voluntaria a una configuración predeterminada
Google lanzó la opción «Usar siempre conexiones seguras» en 2022 como una función que el usuario debía activar. Chrome intenta realizar cada conexión mediante HTTPS y muestra una advertencia que se puede omitir cuando el protocolo seguro no está disponible. Después de años de expansión del uso de HTTPS, la compañía considera que ha llegado el momento de convertir este comportamiento en la configuración predeterminada.
Según el informe de transparencia de HTTPS que Google publica desde hace más de una década, la proporción de sesiones de navegación mediante HTTPS aumentó de aproximadamente entre el 30 y el 45 % en 2015 a un rango cercano al 95-99 % alrededor de 2020, antes de que el progreso se ralentizara considerablemente. Google considera que la difusión y madurez de HTTPS permiten aplicar medidas más estrictas a las conexiones restantes mediante HTTP.
Menos advertencias para los sitios privados
El cambio predeterminado no abarcará únicamente los sitios públicos, ya que la modalidad que adoptará Chrome excluirá los sitios privados, como las direcciones IP locales, los nombres de host de una sola etiqueta y los accesos directos internos como intranet/. Google explica que obtener un certificado HTTPS fiable para un sitio público es relativamente sencillo, mientras que resulta difícil emitir un certificado para nombres privados no únicos como 192.168.0.1, que pueden apuntar a dispositivos diferentes en redes distintas.
Las conexiones HTTP privadas siguen siendo susceptibles de explotación, pero normalmente son menos peligrosas que sus equivalentes públicas porque requieren que el atacante esté en la misma red local, como la red Wi-Fi doméstica o la red de la empresa. Según las cifras incluidas en el artículo, la proporción de uso de HTTPS en Linux aumenta del 84 % a aproximadamente el 97 % cuando se tienen en cuenta únicamente los sitios públicos, mientras que en Windows sube del 95 % al 98 %, y supera el 99 % en Android y Mac.
Calendario de implementación y qué se debe hacer
Antes de la activación general, Google comenzará en Chrome 147, cuyo lanzamiento está previsto para abril de 2026, a habilitar la modalidad para sitios públicos para más de mil millones de usuarios que han elegido la protección Enhanced Safe Browsing. La compañía confirmó que los usuarios podrán desactivar las advertencias desactivando la opción «Usar siempre conexiones seguras».
Google probó la opción en Chrome 141 con un pequeño porcentaje de usuarios y constató que el número de advertencias fue muy inferior al 3 % de las sesiones de navegación; el usuario mediano vio menos de una advertencia por semana, mientras que el usuario situado en el percentil 95 vio menos de tres advertencias semanales.
Google recomienda a los desarrolladores de sitios y a los profesionales de TI activar actualmente la opción para detectar los sitios que necesitan pasar de HTTP a HTTPS. También señaló que el permiso de acceso a la red local presentado recientemente puede ayudar a algunas páginas de configuración de dispositivos locales a migrar a HTTPS, manteniendo al mismo tiempo el control sobre su acceso a la red mediante el consentimiento del usuario.