A Google pretende alterar as configurações padrão do navegador Chrome com o lançamento do Chrome 154, em outubro de 2026, para ativar a opção «Usar sempre conexões seguras» em sua modalidade destinada a sites públicos. Com a mudança, o Chrome solicitará a permissão do usuário antes do primeiro acesso a um site público que não use HTTPS, em vez de permitir que a conexão não criptografada seja iniciada sem aviso prévio.
As equipes de segurança do Chrome afirmam que as conexões via HTTP podem permitir que um invasor sequestre o processo de navegação e force o usuário a carregar recursos sob seu controle, o que pode expô-lo a malware, explorações direcionadas ou ataques de engenharia social. O problema se torna mais complexo porque muitos sites HTTP redirecionam imediatamente para HTTPS, tornando a conexão insegura invisível ao usuário antes que o risco ocorra.
De opção opcional a configuração padrão
A Google lançou a configuração «Usar sempre conexões seguras» em 2022 como uma opção ativada pelo usuário. Com ela, o Chrome tenta realizar todas as conexões via HTTPS e exibe um aviso que pode ser ignorado quando o protocolo seguro não está disponível. Após anos de expansão do uso do HTTPS, a empresa considera que é hora de tornar esse comportamento a configuração padrão.
De acordo com o relatório de transparência do HTTPS publicado pela Google há mais de uma década, a proporção de navegações via HTTPS aumentou de cerca de 30% a 45% em 2015 para uma faixa próxima de 95% a 99% por volta de 2020, antes de o avanço desacelerar consideravelmente. A Google considera que a disseminação e a maturidade do HTTPS permitem aplicar medidas mais rigorosas às conexões restantes via HTTP.
Menos avisos para sites privados
A mudança padrão não abrangerá apenas sites públicos, pois a modalidade que o Chrome adotará excluirá sites privados, como endereços IP locais, nomes de host de rótulo único e atalhos internos, como intranet/. A Google explica que obter um certificado HTTPS confiável para um site público é relativamente fácil, enquanto é difícil emitir um certificado para nomes privados não exclusivos, como 192.168.0.1, que podem apontar para dispositivos diferentes em redes diferentes.
As conexões HTTP privadas ainda podem ser exploradas, mas normalmente são menos perigosas do que as públicas, pois exigem que o invasor esteja na mesma rede local, como uma rede Wi-Fi doméstica ou a rede da empresa. De acordo com os números apresentados no material, a proporção de uso do HTTPS no Linux aumenta de 84% para cerca de 97% quando apenas sites públicos são considerados, enquanto no Windows aumenta de 95% para 98% e ultrapassa 99% no Android e no Mac.
Datas de lançamento e o que fazer
Antes da ativação geral, a Google começará, no Chrome 147, com lançamento previsto para abril de 2026, a habilitar a modalidade para sites públicos para mais de um bilhão de usuários que escolheram a proteção da Navegação segura aprimorada. A empresa confirmou que os usuários poderão desativar os avisos desligando a configuração «Usar sempre conexões seguras».
A Google testou a configuração no Chrome 141 com uma pequena parcela dos usuários e constatou que o número de avisos ficou muito abaixo de 3% das navegações; o usuário mediano viu menos de um aviso por semana, enquanto o usuário no percentil 95 viu menos de três avisos por semana.
A Google recomenda que desenvolvedores de sites e profissionais de tecnologia da informação ativem a configuração atualmente para identificar os sites que precisam migrar de HTTP para HTTPS. A empresa também observou que a permissão de acesso à rede local lançada recentemente pode ajudar algumas páginas de configuração de dispositivos locais a migrar para HTTPS, mantendo o controle sobre seu acesso à rede mediante o consentimento do usuário.