Chrome ya avisa antes de abrir webs sin HTTPS: qué ven tus clientes y cómo evitarlo

Desde Chrome 154 estable, publicado el 22 de septiembre de 2026, Chrome pregunta por defecto al usuario antes de conectarse a un sitio por una conexión insegura (http), según las notas oficiales de la versión en developer.chrome.com. Hasta ahora era una opción que cada usuario tenía que activar; desde la 154 es el comportamiento de fábrica en Android, ChromeOS, Linux, macOS y Windows. Si tu web, un subdominio o un QR impreso aún llevan a http://, tus clientes ven un aviso de seguridad antes de entrar.

La fecha que importa: 22 de septiembre de 2026, Chrome 154. «Ask before HTTP on by default — Chrome prompts users by default when they connect to a site over an insecure (http) connection.» (Preguntar antes de HTTP, activado por defecto: Chrome avisa por defecto a los usuarios cuando se conectan a un sitio por una conexión insegura, http), dicen las notas de la versión 154 de Chrome del 22 de septiembre de 2026.

¿Qué ven exactamente tus clientes?

Tus clientes ven un aviso de Chrome que les pregunta antes de cargar la página, en lugar de la página directamente, cada vez que la conexión es por HTTP, según las notas de Chrome 154 del 22 de septiembre de 2026. Las notas no describen el texto del aviso, no dicen si hay excepciones para sitios que el usuario ya visitó ni si la función llega a todos los usuarios de la 154 a la vez. Lo que sí dicen es que las empresas pueden controlar ese comportamiento con la política HttpsOnlyMode, y que no es un experimento: está en las notas de la versión estable.

¿Qué cifras y fechas hay que apuntar?

• 22 de septiembre de 2026: Chrome 154 estable activa por defecto «Ask before HTTP» en Android, ChromeOS, Linux, macOS y Windows; los administradores lo controlan con la política HttpsOnlyMode. Fuente: notas de la versión Chrome 154.

¿A quién le puede salir el aviso?

A cualquier pyme de España o México que tenga algo servido por HTTP sin redirigir a HTTPS. Los tres casos típicos:

• La web entera responde por HTTP: el visitante de Chrome ve el aviso antes de entrar.
• La web está en HTTPS, pero hay enlaces viejos a http://: tarjetas de presentación, QR impresos, la ficha de Google Business Profile, firmas de correo o campañas antiguas. Si el servidor redirige bien a HTTPS, el aviso no debería aparecer en la página final, pero conviene comprobar que la primera respuesta por HTTP es una redirección inmediata y no una página.
• Subdominios olvidados: el entorno de pruebas, una landing de una campaña de hace años o la versión con www frente a la sin www, si alguno solo sirve HTTP.

¿Cómo lo evitas?

Se evita comprobando que cada dirección de tu negocio redirige a HTTPS con una redirección permanente (301 o 308): el dominio, la versión con www y cada subdominio activo. Después, repasar las URLs de la ficha de Google Business Profile, las firmas de correo, los QR y los enlaces de campañas para que apunten a https://. Y si todo ya va por HTTPS, valorar activar HSTS en el servidor.

En Rigol&Co podemos revisar contigo si tu dominio y tus subdominios redirigen bien a HTTPS.