Chrome תבקש אישור לפני כניסה ראשונה לאתר HTTP, לכל המשתמשים מ-Chrome 154
ב-28 באוקטובר 2025 הודיעה Google ש-Chrome תבקש אישור לפני כניסה ראשונה לאתר ציבורי בלי HTTPS. ההגדרה תפעל לכל המשתמשים ב-Chrome 154, באוקטובר 2026.
TL;DR בקצרה
- Google הודיעה ב-28 באוקטובר 2025 שההגדרה Always Use Secure Connections תהפוך לברירת מחדל בגרסה הציבורית שלה ב-Chrome 154, באוקטובר 2026.
- באפריל 2026, ב-Chrome 147, ההגדרה תופעל למשתמשי Enhanced Safe Browsing, שהם לפי Google מעל מיליארד.
- Chrome לא תתריע שוב על אתר HTTP שמבקרים בו בקביעות. כתובות פרטיות כמו 192.168.0.1 מוחרגות.
- לפי Google, כדאי להפעיל את ההגדרה כבר עכשיו כדי לגלות אתרים וציוד רשת שעדיין עובדים ב-HTTP.
Google הודיעה ב-28 באוקטובר 2025 שב-Chrome 154, באוקטובר 2026, HTTPS by default יהפוך לברירת מחדל. כלומר Chrome תבקש אישור לפני הכניסה הראשונה לאתר ציבורי שאין לו HTTPS. Google פרסמה את ההודעה בבלוג האבטחה שלה.
מה זה HTTPS by default ב-Chrome
שם ההגדרה הוא Always Use Secure Connections. נכון ל-28 באוקטובר 2025 המשתמש בוחר אם להפעיל אותה. כשהיא פעילה, Chrome מנסה להתחבר ב-HTTPS. אם האתר לא תומך, Chrome מציגה אזהרה עם שני כפתורים: Continue to site ו-Return.
Chrome לא תתריע שוב ושוב על אתר שמבקרים בו בקביעות. היא תתריע על אתרים חדשים, או על אתרים שלא ביקרתם בהם לאחרונה. את ההגדרה אפשר לכבות בכתובת chrome://settings/security.
למה Google מקדמת HTTPS by default
לפי Google, שיעור ה-HTTPS זינק מכ-30% עד 45% ב-2015 לכ-95% עד 99% סביב 2020. אחר כך הצמיחה האטה. בלי אתרים פרטיים, ב-Linux הוא עלה מ-84% לכמעט 97%. ב-Windows הוא עלה מ-95% ל-98%. ב-Android וב-Mac הוא חוצה את 99%.
הבעיה שנשארה היא קישורים ב-HTTP. תוקף ברשת יכול לחטוף ניווט כזה ולהגיש למשתמש אתר זדוני. Google מציינת שאתרי HTTP רבים משמשים רק לניווט שעובר מיד ל-HTTPS. לכן המשתמש לא רואה אותם.
Google בדקה את השינוי ב-Chrome 141, על אחוז קטן של משתמשים. האזהרה הופיעה בפחות מ-3% מהניווטים. המשתמש החציוני ראה פחות מאזהרה אחת בשבוע, והמשתמש בפרצנטיל ה-95 ראה פחות משלוש.
לוח הזמנים ומי מוחרג
הלוח הזמנים ברור. ב-Chrome 147, באפריל 2026, Google תפעיל את ההגדרה למשתמשי Enhanced Safe Browsing. לפי Google הם מעל מיליארד. ב-Chrome 154, באוקטובר 2026, היא תפעיל אותה לכולם.
הגרסה הציבורית של ההגדרה מוחרגת מכתובות פרטיות. אלה כתובות IP מקומיות כמו 192.168.0.1, שמות מארחים בלי נקודה וקיצורים כמו intranet. אפשרות הכללת אתרים פרטיים נשארת כבויה כברירת מחדל. לפי Google, הסיכון ב-HTTP באתר פרטי נמוך, כי תוקף צריך להיות באותה רשת מקומית.
ארגונים שמנהלים את Chrome יכולים לקבוע אילו אזהרות יוצגו. Google מפנה למדריך אימוץ בשם ask before HTTP. היא גם מזהירה שפורטלי ניהול של ציוד רשת מקומי דורשים לא פעם HTTP. דף HTTPS לא יכול לגשת אליהם, כי הדפדפן חוסם בקשות HTTP מדף מאובטח. ההרשאה Local Network Access של Chrome מאפשרת לדף HTTPS לגשת לרשת המקומית, אחרי שהמשתמש אישר.
מה זה אומר עבורכם
- הפעילו את ההגדרה מראש: ב-chrome://settings/security, כדי לגלות אילו אתרים עדיין עובדים ב-HTTP. Google ממליצה על כך בחום לאנשי IT ולמפתחים.
- בדקו את האתרים שלכם: עברו על קישורים ישנים ב-HTTP. בדקו מיילים, קמפיינים ודפי נחיתה, וודאו שהם מפנים ל-HTTPS.
- בדקו ציוד רשת: לממשק HTTP בנתבים, במצלמות ובמדפסות עלולה להיות בעיה, כשדף HTTPS מנסה לגשת אליו.
- בארגון שמנהל את Chrome: קראו את מדריך ask before HTTP של Google. קבעו מראש אילו אזהרות יופיעו.
- אל תקלידו סיסמה באתר HTTP: תוקפים יכולים לקרוא ולשנות את התנועה. זה הנימוק של Chrome לאזהרה.
מה קרה מאז
לפי הערות הגרסה של Chrome 154, תאריך היציאה היציב הוא 22 בספטמבר 2026. הן כוללות סעיף בשם Ask before HTTP on by default. הוא קובע ש-Chrome מציגה בקשה כברירת מחדל בחיבור לאתר ב-HTTP. מנהלי ארגונים יכולים לשנות את ברירת המחדל במדיניות HttpsOnlyMode.
מקורות והרחבה
- HTTPS by defaultGoogle
- Google Chrome to warn users before opening insecure HTTP sitesBleepingComputer
- Chrome 154 release notesChrome for Developers
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
