Google indique avoir généralisé dans Chrome la demande d’autorisation avant une connexion HTTP non sécurisée : pour les exploitants de sites publics, l’enjeu porte sur tout le parcours de navigation, y compris les redirections vers HTTPS.
Le navigateur intervient ainsi avant l’accès, là où un indicateur affiché après la connexion laisse déjà l’utilisateur exposé, souligne l’entreprise.
La redirection ne protège pas la première connexion
Le point décisif se situe avant l’arrivée sur la page finale.
Dans son explication du mécanisme, Google rappelle qu’une navigation commençant en HTTP peut être détournée même si le site prévoit une redirection immédiate vers HTTPS.
Cette première étape reste donc une composante de la sécurité du parcours.
Pour les équipes chargées des sites, la distinction déplace le périmètre d’examen : constater que la destination utilise HTTPS ne suffit pas à caractériser les étapes précédentes.
Une redirection vers une page sécurisée et une connexion sécurisée dès le départ ne présentent pas la même exposition, selon le mécanisme décrit par Google.
L’avertissement vise précisément ce passage initial, parfois transitoire.
Les ressources locales gardent un traitement distinct
La demande d’autorisation avait d’abord été activée pour les utilisateurs de la protection renforcée, précise Google.
L’accord donné pour un site reste valable tant que les visites ne connaissent pas une interruption d’au moins deux semaines.
Le dispositif ne signifie donc pas qu’une nouvelle validation accompagne chaque accès HTTP.
Autre limite déterminante : les destinations ne pouvant obtenir de certificat HTTPS publiquement reconnu sont exemptées par défaut, notamment certaines adresses locales et certains noms d’intranet.
Google explique que les adresses privées ne permettent pas de vérifier un propriétaire unique à l’échelle mondiale comme pour un domaine public.
Cette exception délimite la portée du dispositif ; elle ne démontre pas l’innocuité des ressources concernées.
La généralisation déclarée par Google décrit une protection du navigateur, sans établir à elle seule ses effets sur les incidents de sécurité.
Sources
Google — Chrome now warns before insecure HTTP connections, 21 octobre 2026.
Google — HTTPS by default, 28 octobre 2025.
Photo : Closari — CC BY 2.0 (image adaptée)
