Chrome: avvisi HTTP da ottobre

A ottobre 2026 Google Chrome cambia un'impostazione rimasta facoltativa per anni. A partire da Chrome 154, il browser attiverà per tutti l'opzione «Usa sempre connessioni sicure». Da quel momento Chrome proverà prima l'HTTPS per ogni indirizzo e, prima di aprire un sito pubblico che risponde soltanto in HTTP, si fermerà mostrando al visitatore una pagina di avviso che gli chiede se vuole davvero proseguire.

È un cambiamento con una data futura, ed è proprio per questo che ne scriviamo ora. Per la maggior parte delle aziende monegasche non succederà nulla, perché il loro sito è già in HTTPS. Per una minoranza — di solito chi ha messo mano al sito l'ultima volta diversi anni fa — una pagina funzionante si trasformerà silenziosamente in una schermata «questo sito non è sicuro», e in azienda nessuno lo saprà finché non lo farà notare un cliente.

Cosa cambia davvero

Chrome offre dal 2022 un'impostazione facoltativa chiamata «Usa sempre connessioni sicure». L'annuncio di Google descrive un'introduzione in due fasi: ad aprile 2026 Chrome 147 l'ha attivata per impostazione predefinita per chi aveva scelto la protezione avanzata («Enhanced Safe Browsing»), circa un miliardo di persone secondo Google. A ottobre 2026 Chrome 154 la attiva per impostazione predefinita per tutti.

Il perimetro è volutamente ristretto:

• Riguarda solo i siti pubblici — i domini normali come esempio.com o tuaazienda.mc. Indirizzi locali, intranet e nomi host senza punto sono esclusi, perché per quelli i certificati sono difficili da ottenere.
• L'avviso è aggirabile: il visitatore può proseguire. Ma è una pagina intera, non una piccola icona.
• Chrome non insisterà sui siti che l'utente visita abitualmente. Nei test di Google, l'utente mediano vede meno di un avviso a settimana.
• Ogni utente può disattivare l'opzione, ma la stragrande maggioranza non modifica mai le impostazioni predefinite del browser.

Secondo i dati di Google, l'HTTPS copre già il 95–99 % dei caricamenti di pagina a seconda della piattaforma: per questo cambiare il default appare sicuro. È nei pochi punti percentuali rimasti che si annidano i problemi.

Perché quegli ultimi punti percentuali contano a Monaco

Il sito di un'azienda monegasca è raramente un sito ad alto traffico. È un sito a basso traffico e alto valore: una manciata di visite al giorno, molte delle quali arrivano da un potenziale cliente, un locatore, un family office o un giornalista che verifica se esistete davvero. Un avviso di sicurezza in quel preciso istante costa in modo sproporzionato. Nessuno clicca su «continua comunque» sul sito di un gestore patrimoniale, di una clinica o di un broker di yacht. Si chiude la scheda.

Le aziende più esposte sono quelle prevedibili: una boutique con un sito costruito nel 2017 e mai più toccato; un ristorante con la pagina prenotazioni su un sottodominio che nessuno mantiene; uno studio professionale con una pagina «provvisoria» diventata definitiva. Non sono aziende trascurate. Sono aziende per cui il sito è stato un progetto una tantum e non un sistema in evoluzione — esattamente il vuoto che la manutenzione del sito web è pensata per colmare.

I casi che sfuggono

Il sito principale di solito è a posto. Dove troviamo regolarmente HTTP puro è tutto intorno:

Vecchi link in circolazione. Brochure stampate, biglietti da visita, firme e-mail, schede Google Business Profile e bio social scritte anni fa riportano spesso ancora http://. Se il server reindirizza correttamente da HTTP a HTTPS, Chrome gestisce il passaggio in silenzio. Se il reindirizzamento manca o è rotto su un sottodominio, quel vecchio link diventa un avviso.

QR code. Ogni menù di ristorante, card di benvenuto in hotel e locandina di evento nel Principato porta ormai un QR code, e molti sono stati generati una volta e mai più verificati. Un QR code che codifica un indirizzo HTTP verso una pagina senza certificato valido farà comparire l'avviso sul telefono dell'ospite. Per l'ospitalità vale da solo dieci minuti di verifica — è uno dei problemi ricorrenti che vediamo nei siti per hotel e ristoranti.

Domini secondari. Landing page di campagna, il .com comprato insieme al .mc, il vecchio marchio che inoltra ancora traffico. I domini di inoltro sono spesso configurati presso il registrar, senza alcun certificato.

Contenuti misti. Una pagina servita in HTTPS che carica uno script, un'immagine o un font in HTTP. Chrome blocca o aggiorna già la maggior parte di questi casi, ma una pagina che dipende da una risorsa di terzi disponibile solo in HTTP può rompersi in modi che sembrano un difetto di design anziché un problema di sicurezza.

Certificati scaduti. Non è lo stesso problema, ma è lo stesso sintomo. Un sito che aveva l'HTTPS e ha lasciato scadere il certificato sta peggio di uno che non l'ha mai avuto, e con durate dei certificati che si accorciano secondo un calendario già pubblicato, «qualcuno lo rinnova a mano» non è più una risposta sicura.

Un controllo di trenta minuti, senza sviluppatore

Per il primo passaggio non serve nessuna competenza tecnica.

1. Aprite il vostro sito in Chrome. Andate in Impostazioni, poi Privacy e sicurezza, poi Sicurezza, e attivate già oggi «Usa sempre connessioni sicure». Vedrete esattamente ciò che vedranno i vostri visitatori a ottobre.
2. Digitate il vostro indirizzo in tutte le forme che avete mai pubblicato: con e senza www, con http:// esplicito, e gli eventuali altri domini. Ognuno deve arrivare a una pagina HTTPS con il lucchetto e senza avvisi.
3. Scansionate con il telefono ogni QR code che avete in stampa. Controllate quale indirizzo contiene, non solo dove finisce per atterrare.
4. Cercate http:// nella firma e-mail, nella scheda Google Business Profile e nei profili social.
5. Annotate tutto ciò che ha prodotto un avviso, una catena di reindirizzamenti o una pagina che sembra rotta.

Se la lista è vuota, avete finito. Se non lo è, le correzioni sono in genere piccole: una regola di reindirizzamento, un certificato su un sottodominio dimenticato, un link corretto. Quello da evitare è scoprire quella lista a novembre, dallo screenshot di un cliente.

Se il problema è il sito stesso

A volte il controllo rivela qualcosa di più ampio: un hosting che non può emettere certificati, una piattaforma non più supportata, o una struttura talmente datata che rattopparla costa più di quanto valga. In quel caso il consiglio onesto non è innestare l'HTTPS su qualcosa che fallirà anche al prossimo test. Un sito costruito bene ha HTTPS, rinnovo automatico dei certificati, reindirizzamenti e header di sicurezza di serie, non come extra; è semplicemente il nostro approccio a ogni progetto di sviluppo web.

Per le aziende registrate a Monaco, un rifacimento di questo tipo può rientrare nei programmi digitali del Governo — abbiamo dedicato una pagina ai progetti di sito sovvenzionati dal Fonds Bleu. Le condizioni di ammissibilità cambiano: verificate le regole in vigore con la Cellule Économie Numérique prima di pianificare in base a esse.

I tempi

Ottobre è anche il mese in cui le Assises de la Cybersécurité riempiono il Grimaldi Forum, un promemoria opportuno del fatto che a Monaco la postura di sicurezza è sempre più un tema su cui clienti, partner e assicuratori fanno domande. Un avviso del browser sulla vostra home page è il modo più visibile in assoluto di fallire quella domanda, e uno dei più economici da correggere.

Avete ancora qualche settimana. Se preferite che il controllo lo facciamo noi e che vi diciamo chiaramente se qualcosa si romperà, contattateci.