Google планирует изменить настройки браузера Chrome по умолчанию с выпуском Chrome 154 в октябре 2026 года, включив параметр «Всегда использовать безопасные подключения» в варианте, предназначенном для общедоступных сайтов. В соответствии с изменением Chrome будет запрашивать разрешение пользователя перед первым обращением к общедоступному сайту, не использующему HTTPS, вместо того чтобы без предварительного предупреждения начинать незашифрованное соединение.
Команды Chrome Security заявляют, что соединения по HTTP могут позволить злоумышленнику перехватить процесс просмотра страниц и заставить пользователя загрузить контролируемые им ресурсы, что может подвергнуть его вредоносному ПО, целевым эксплойтам или атакам социальной инженерии. Проблема усугубляется тем, что многие сайты HTTP сразу перенаправляют на HTTPS, из-за чего небезопасное соединение остаётся невидимым для пользователя до возникновения угрозы.
От необязательного параметра к настройке по умолчанию
Google запустила настройку «Всегда использовать безопасные подключения» в 2022 году как параметр, который пользователь включает самостоятельно. Chrome при этом пытается устанавливать каждое соединение через HTTPS и показывает предупреждение, которое можно обойти, если защищённый протокол недоступен. После нескольких лет расширения использования HTTPS компания считает, что настало время сделать такое поведение настройкой по умолчанию.
Согласно отчёту Google о прозрачности HTTPS, который компания публикует более десяти лет, доля просмотров через HTTPS выросла примерно с 30–45% в 2015 году до диапазона около 95–99% примерно к 2020 году, после чего прогресс значительно замедлился. Google считает, что распространённость и зрелость HTTPS позволяют применять более строгие меры к оставшимся соединениям HTTP.
Меньше предупреждений для частных сайтов
Изменение по умолчанию будет распространяться не только на общедоступные сайты: используемый Chrome вариант исключит частные сайты, такие как локальные IP-адреса, одноуровневые имена хостов и внутренние сокращения вроде intranet/. Google поясняет, что получить доверенный сертификат HTTPS для общедоступного сайта относительно легко, тогда как выпуск сертификата для непубличных неуникальных имён, таких как 192.168.0.1, затруднён, поскольку они могут указывать на разные устройства в разных сетях.
Частные соединения HTTP по-прежнему могут быть использованы злоумышленниками, но обычно они менее опасны, чем общедоступные, поскольку требуют присутствия атакующего в той же локальной сети, например в домашней сети Wi-Fi или корпоративной сети. Согласно приведённым в материале данным, доля использования HTTPS в Linux повышается с 84% примерно до 97% при учёте только общедоступных сайтов, в Windows — с 95% до 98%, а в Android и Mac превышает 99%.
Сроки развёртывания и необходимые действия
До общего включения Google начнёт в Chrome 147, выпуск которого запланирован на апрель 2026 года, включать вариант для общедоступных сайтов более чем у одного миллиарда пользователей, выбравших защиту Enhanced Safe Browsing. Компания подтвердила, что пользователи смогут отключить предупреждения, выключив настройку «Всегда использовать безопасные подключения».
Google протестировала настройку в Chrome 141 на небольшой доле пользователей и выяснила, что количество предупреждений было значительно ниже 3% просмотров: медианный пользователь видел менее одного предупреждения в неделю, а пользователь на 95-м процентиле — менее трёх предупреждений в неделю.
Google рекомендует разработчикам сайтов и специалистам по информационным технологиям уже сейчас включить настройку, чтобы выявить сайты, которым необходимо перейти с HTTP на HTTPS. Компания также отметила, что недавно представленное разрешение на доступ к локальной сети может помочь некоторым страницам настройки локальных устройств перейти на HTTPS, сохраняя контроль над их доступом к сети с согласия пользователя.