Chrome přejde výhradně na HTTPS. Weby bez certifikátu končí

Google oznámil zásadní změnu: od října 2026 bude prohlížeč Chrome automaticky používat výhradně zabezpečené připojení HTTPS. Na weby bez certifikátu se tak uživatelé nedostanou bez potvrzení výjimky. Jaké jsou důsledky pro provozovatele webů a co by měli udělat nyní?

Podle společnosti Google se rozšiřování bezpečného webového protokolu HTTPS v posledních letech prakticky zastavilo – většina webů už ho totiž používá. Dle statistik z roku 2020 probíhá přes HTTPS 95 až 99 % všech připojení v prohlížeči Chrome, píše web Engadget.

Technologický gigant se proto rozhodl posunout standard ještě dál. Od října 2026 s verzí Chrome 154 bude pro všechny uživatele automaticky aktivováno nastavení „Vždy používat zabezpečené připojení“ (Always Use Secure Connections). To zajistí, že se Chrome bude na veřejné weby připojovat výhradně přes HTTPS.

Nastavení „Vždy používat zabezpečené připojení“ varuje uživatele před přístupem na web bez protokolu HTTPS.

Tato změna dorazí dříve k uživatelům, kteří mají zapnutou funkci „Rozšířená ochrana bezpečného prohlížení“ (Enhanced Safe Browsing). U nich bude nové nastavení zapnuto už v dubnu 2026, kdy vyjde Chrome 147.

Pokud se Chrome pokusí otevřít web, který HTTPS nepoužívá, zobrazí upozornění a požádá uživatele o potvrzení, zda chce pokračovat na nezabezpečenou stránku.

Google jde tímto směrem už několik let

Google se na posilování bezpečnosti webu zaměřuje dlouhodobě. Již v roce 2018 začal prohlížeč Chrome upozorňovat uživatele při návštěvě stránek, které používaly nezabezpečený protokol HTTP.

V dubnu 2021 pak Google přepnul výchozí chování prohlížeče tak, aby se nové připojení vždy nejprve pokusilo navázat přes HTTPS. O rok později přibyla možnost „Vždy používat zabezpečené připojení“ (Always Use Secure Connections), kterou si mohli uživatelé zapnout ručně v nastavení prohlížeče.

Pokud není používáno HTTPS, útočník může relativně snadno přesměrovat připojení a zaútočit na uživatele pomocí malwaru, sociálního inženýrství nebo jiných exploitů.

„Útoky tohoto typu nejsou hypotetické. Software pro únos navigace je snadno dostupný a útočníci již v minulosti využili nezabezpečené HTTP k napadení zařízení uživatelů v rámci cíleného útoku,“ napsal tým Chrome v blogovém příspěvku.

„Útočníkům často stačí jediná nezabezpečená návštěva. I když většina webů dnes používá HTTPS, jakýkoli jednotlivý přístup přes HTTP jim může poskytnout příležitost k útoku. Situaci navíc zhoršuje fakt, že řada webů provádí přesměrování z HTTP na HTTPS okamžitě. Pro uživatele tak zůstává samotné nezabezpečené spojení zcela neviditelné,“ dodal tým Chrome.

Funkce „Vždy používat zabezpečené připojení je jedním z pokusů týmu“ Chrome o zmírnění těchto rizik.

HTTP přežívá už jen v lokálních sítích

Protokol HTTP nadále zůstává běžný u soukromých webů a interních sítí, například při přístupu na lokální IP adresy nebo firemní intranety. Získat pro takové stránky platný certifikát HTTPS bývá obtížné, protože stejné interní názvy mohou v různých sítích odkazovat na odlišné servery. 

Typickým příkladem je adresa 192.168.0.1, kterou používá řada výrobců routerů pro přihlášení do administračního rozhraní zařízení.

Google proto potvrdil, že nový režim „Vždy používat zabezpečené připojení“ (Always Use Secure Connections) se bude vztahovat pouze na veřejné weby. Pro soukromé IP adresy a intranetové aplikace zůstane možnost připojení přes HTTP zachována. 

Chrome umožní toto chování vypnout nebo přizpůsobit v nastavení. Správci sítí i běžní uživatelé se bez problémů dostanou například do lokálního routeru či firemního systému, který HTTPS certifikát nemá.

Navigace přes HTTP v rámci lokální sítě proto nepředstavuje tak vysoké riziko jako u veřejného webu. I když není zcela bezpečná, potenciálním vektorem útoku je v tomto případě pouze místní síť, nikoli celý internet.

Co to znamená pro provozovatele webů

Z praktického hlediska je tato změna pro provozovatele webů jasná zpráva – za rok už nebude prostor pro kompromisy. Jakmile Chrome začne ve výchozím režimu vyžadovat HTTPS, web bez platného SSL/TLS certifikátu přestane být důvěryhodný, a v mnoha případech se prostě nenačte.

Provozovatelé, kteří HTTPS dosud neřešili, mají posledních 12 měsíců na nápravu. Bez šifrovaného připojení nebude jejich web v prohlížeči Chrome dále použitelný.

HTTPS řešení od CZECHIA.COM

Pokud provozujete web na hostingu CZECHIA.COM, máte výhodu – služba nabízí základní SSL/TLS certifikát v některých hostingových plánech zdarma. 

Pro náročnější projekty jsou k dispozici prémiové certifikáty DigiCert s rozšířeným ověřením, které zajišťují maximální důvěryhodnost a špičkové TLS šifrování. Chrání data proti odposlechu i útokům typu man-in-the-middle, zároveň nabízejí snadnou instalaci, správu i obnovu a plnou kompatibilitu s prohlížeči i mobilními platformami.

Použití certifikátu výrazně zvyšuje reputaci webu, důvěru návštěvníků a přispívá ke zlepšení konverzí u e-shopů.

DigiCert můžete také najít na SSL Marketu od Zoneru, který je největším partnerem společnosti v Evropě a prodává certifikáty do celého světa.

A pokud má váš web s nasazením HTTPS potíže, můžete se obrátit přímo na službu CZECHIA.COM. „Jsme připraveni vyřešit tento problém všem webům, které z různých důvodů certifikát zatím nenasadili nebo nasadit nezvládnou,“ řekl Martin Šumbera z týmu CZECHIA.COM.

Díky tomu mohou i starší nebo technicky náročnější weby přejít na HTTPS bez výpadků a bez zbytečných komplikací.