Googleは、2026年10月にリリース予定のChrome 154で、Chromeブラウザのデフォルト設定を変更し、一般公開サイト向けの「常に安全な接続を使用する」オプションを有効にする予定です。この変更により、ChromeはHTTPSを使用していない一般公開サイトへ初めてアクセスする前に、ユーザーの許可を求めるようになります。これまでは、事前の警告なしに暗号化されていない接続を開始できました。
Chrome Securityチームは、HTTP経由の接続では、攻撃者が閲覧セッションを乗っ取り、ユーザーに攻撃者が制御するリソースを読み込ませる可能性があると説明しています。これにより、マルウェア、標的型エクスプロイト、ソーシャルエンジニアリング攻撃にさらされるおそれがあります。さらに、多くのHTTPサイトはすぐにHTTPSへリダイレクトするため、危険が発生する前に安全でない接続がユーザーから見えにくいという問題もあります。
任意のオプションからデフォルト設定へ
Googleは2022年、「常に安全な接続を使用する」設定を、ユーザーが有効にするオプションとして導入しました。この設定を有効にすると、Chromeはすべての接続でHTTPSを試み、安全なプロトコルを利用できない場合には、回避可能な警告を表示します。HTTPSの利用が何年にもわたって拡大してきたことを受け、同社はこの動作をデフォルト設定にする時期が来たと判断しています。
Googleが10年以上にわたり公開しているHTTPS透明性レポートによると、HTTPS経由の閲覧の割合は、2015年の約30～45％から、2020年前後には約95～99％の範囲まで上昇しました。その後、進展は大幅に鈍化しています。Googleは、HTTPSの普及と成熟により、HTTP経由で残っている接続に対して、より強力な対策を適用できると考えています。
プライベートサイトでは警告を削減
デフォルト設定の変更は一般公開サイトだけを対象とします。Chromeが採用する方式では、ローカルIPアドレス、単一ラベルのホスト名、intranet/などの内部ショートカットといったプライベートサイトを除外します。Googleは、一般公開サイトの信頼できるHTTPS証明書を取得するのは比較的容易である一方、192.168.0.1のように異なるネットワーク上の別の機器を指す可能性がある、固有ではないプライベート名の証明書を発行するのは難しいと説明しています。
プライベートなHTTP接続も悪用される可能性はありますが、通常は、攻撃者が自宅のWi-Fiネットワークや企業ネットワークなど、同じローカルネットワーク上に存在する必要があるため、一般公開接続より危険性は低くなります。記事に記載された数値によると、一般公開サイトのみを対象にすると、LinuxでのHTTPS利用率は84％から約97％に上昇し、Windowsでは95％から98％に上昇します。AndroidとMacでは99％を超えます。
展開時期と必要な対応
Googleは一般提供に先立ち、2026年4月にリリース予定のChrome 147で、Enhanced Safe Browsingの保護を選択した10億人を超えるユーザーに、一般公開サイト向けの方式を有効にし始めます。同社は、ユーザーが「常に安全な接続を使用する」設定をオフにすることで、警告を無効にできると説明しています。
GoogleはChrome 141でこの設定を少数のユーザーに対してテストし、警告の数が閲覧の3％を大幅に下回ることを確認しました。ユーザーの中央値では週1回未満、95パーセンタイルのユーザーでも週3回未満の警告しか表示されませんでした。
Googleは、サイト開発者とIT担当者に対し、HTTPからHTTPSへの移行が必要なサイトを特定するため、現在この設定を有効にするよう推奨しています。また、最近導入したローカルネットワークアクセスの許可により、一部のローカルデバイス設定ページがHTTPSへ移行しやすくなる可能性があると説明しています。その場合も、ネットワークへのアクセスはユーザーの同意によって制御されます。