Google prévoit de modifier les paramètres par défaut du navigateur Chrome avec la sortie de Chrome 154 en octobre 2026, afin d’activer l’option « Toujours utiliser des connexions sécurisées » dans sa version destinée aux sites publics. Selon cette modification, Chrome demandera l’autorisation de l’utilisateur avant le premier accès à un site public qui n’utilise pas HTTPS, au lieu d’autoriser l’établissement d’une connexion non chiffrée sans avertissement préalable.
Les équipes de Chrome Security affirment que les connexions HTTP peuvent permettre à un attaquant de détourner la navigation et de contraindre l’utilisateur à charger des ressources contrôlées par celui-ci, ce qui pourrait l’exposer à des logiciels malveillants, à des exploits ciblés ou à des attaques d’ingénierie sociale. Le problème est encore plus complexe, car de nombreux sites HTTP redirigent immédiatement vers HTTPS, rendant la connexion non sécurisée invisible pour l’utilisateur avant que le risque ne survienne.
D’une option facultative à un paramètre par défaut
Google a lancé le paramètre « Toujours utiliser des connexions sécurisées » en 2022 comme une option activée par l’utilisateur. Chrome tente alors d’effectuer chaque connexion via HTTPS et affiche un avertissement contournable lorsque le protocole sécurisé n’est pas disponible. Après des années d’augmentation de l’utilisation de HTTPS, l’entreprise estime que le moment est venu de faire de ce comportement le paramètre par défaut.
Selon le rapport de transparence HTTPS publié par Google depuis plus de dix ans, la proportion des navigations effectuées via HTTPS est passée d’environ 30 à 45 % en 2015 à une fourchette proche de 95 à 99 % autour de 2020, avant que les progrès ne ralentissent considérablement. Google estime que la généralisation et la maturité de HTTPS permettent d’appliquer des mesures plus strictes aux connexions HTTP restantes.
Moins d’avertissements pour les sites privés
La modification par défaut ne concernera pas uniquement les sites publics, puisque la version adoptée par Chrome exclura les sites privés, tels que les adresses IP locales, les noms d’hôte à étiquette unique et les raccourcis internes comme intranet/. Google explique qu’il est relativement facile d’obtenir un certificat HTTPS fiable pour un site public, tandis qu’il est difficile d’émettre un certificat pour des noms privés non uniques comme 192.168.0.1, qui peuvent désigner des appareils différents sur des réseaux différents.
Les connexions HTTP privées restent exploitables, mais elles sont généralement moins dangereuses que leurs équivalentes publiques, car elles nécessitent que l’attaquant se trouve sur le même réseau local, comme le réseau Wi-Fi domestique ou celui de l’entreprise. Selon les chiffres cités dans l’article, la proportion d’utilisation de HTTPS sous Linux passe de 84 % à environ 97 % lorsque seuls les sites publics sont pris en compte, tandis qu’elle passe de 95 % à 98 % sous Windows et dépasse 99 % sous Android et Mac.
Calendrier du déploiement et mesures à prendre
Avant l’activation générale, Google commencera, dans Chrome 147, dont la sortie est prévue en avril 2026, à activer la version destinée aux sites publics pour plus d’un milliard d’utilisateurs ayant choisi la protection Enhanced Safe Browsing. L’entreprise a confirmé que les utilisateurs pourront désactiver les avertissements en désactivant le paramètre « Toujours utiliser des connexions sécurisées ».
Google a testé le paramètre dans Chrome 141 auprès d’une faible proportion d’utilisateurs et a constaté que le nombre d’avertissements était largement inférieur à 3 % des navigations : l’utilisateur médian voyait moins d’un avertissement par semaine, tandis que l’utilisateur situé au 95e percentile en voyait moins de trois par semaine.
Google recommande aux développeurs de sites et aux spécialistes des technologies de l’information d’activer dès maintenant le paramètre afin de repérer les sites qui doivent passer de HTTP à HTTPS. L’entreprise a également indiqué que l’autorisation d’accès au réseau local introduite récemment pourrait aider certaines pages de configuration d’appareils locaux à passer à HTTPS, tout en maintenant le contrôle de leur accès au réseau avec l’accord de l’utilisateur.