Chrome тепер попереджає перед відкриттям сайтів без HTTPS: як перевірити, що ваш сайт не відлякує клієнтів

Що змінилося в Chrome у жовтні 2026 року

Налаштування «Завжди використовувати захищені з’єднання» (Always Use Secure Connections) у Chrome не нове: його додали ще у 2022 році як опцію для тих, хто сам захоче ввімкнути. Чотири роки воно було вимкнене за замовчуванням, і більшість людей про нього навіть не знала. Тепер Google зробив його стандартною поведінкою браузера для всіх.

У цьому режимі Chrome спершу пробує відкрити кожен сайт через захищене з’єднання HTTPS. Якщо захищеної версії немає, браузер не відкриває сторінку одразу, а показує попередження і питає користувача, чи справді він хоче продовжити. Раніше людина бачила лише позначку «Не захищено» в адресному рядку вже після того, як сторінка завантажилася. Тепер рішення доводиться ухвалювати ще до того, як вона побачить ваш сайт.

Хронологія

• 2022 рік. У Chrome з’являється налаштування «Завжди використовувати захищені з’єднання», за замовчуванням вимкнене.
• 28 жовтня 2025 року. Команда безпеки Chrome оголошує план: увімкнути попередження для публічних сайтів без HTTPS для всіх користувачів у жовтні 2026 року, у версії Chrome 154.
• Квітень 2026 року. У Chrome 147 режим вмикається для користувачів, які обрали розширений захист Safe Browsing (Enhanced Protection).
• 21 жовтня 2026 року. Google повідомляє, що попередження перед відкриттям незахищених сайтів тепер увімкнене за замовчуванням для всіх користувачів Chrome на комп’ютерах і смартфонах.

У різних джерелах трапляються різні номери версії, з якої зміна вмикається для всіх: 154 або 155. Для власника сайту це не принципово: оновлення Chrome встановлюється автоматично, тож протягом найближчих тижнів попередження побачить переважна більшість відвідувачів, які користуються цим браузером.

Як працює попередження і коли воно з’являється

Google свідомо зробив новий режим «м’яким», щоб не завалювати людей вікнами. Попередження можна пропустити, а частота його появи обмежена. Важливо розуміти правила, бо від них залежить, хто саме з ваших відвідувачів його побачить.

Хто бачить попередження

• Нові відвідувачі. Chrome питає дозволу під час першого переходу на публічний сайт без HTTPS.
• Ті, хто давно не заходив. Якщо людина погодилася відкрити сайт, браузер запам’ятовує вибір. За даними Chrome Unboxed, попередження повториться, якщо вона не відвідувала сайт щонайменше два тижні.
• Постійні відвідувачі його майже не бачать. Google прямо пише: поки користувач регулярно відвідує незахищений сайт, Chrome не попереджатиме про нього щоразу.

На які адреси попередження не поширюється

Попередження стосується лише публічних сайтів. Локальні адреси на кшталт 192.168.0.1 (налаштування роутера), однослівні внутрішні імена («intranet») та інші адреси у приватній мережі відкриваються по HTTP без попереджень, бо отримати для них публічний сертифікат неможливо. Тобто офісний сервер чи камера в локальній мережі нічого не помітять, а от сайт компанії в інтернеті — так.

Чи можна це вимкнути

Користувач може вимкнути налаштування сам: «Налаштування → Конфіденційність і безпека → Безпека → Завжди використовувати захищені з’єднання». Але розраховувати на це не варто: звичайний клієнт не полізе в налаштування браузера заради сайту, про який дізнався п’ять хвилин тому. Він просто натисне «Назад» і перейде до наступного результату пошуку.

Чому це важливо, навіть якщо попереджень «мало»

Google наводить заспокійливі цифри: за даними раннього розгортання, близько 95% користувачів Chrome на комп’ютерах не бачать за тиждень жодного такого попередження, а три й більше — менше ніж 1%. Частка HTTPS в інтернеті давно перевищила 95%, тож для більшості людей нічого не зміниться. Але ця статистика описує користувачів, а не сайти.

Якщо ваш сайт чи окрема його адреса працює без HTTPS, попередження побачить не 5% відвідувачів, а практично кожен новий. А нові відвідувачі — це якраз ті люди, за яких ви платите: клік із реклами, перехід із Google Карт, скан QR-коду з листівки, посилання з каталогу чи розсилки. Саме на цьому етапі людина ще не довіряє вам, і повідомлення браузера про те, що з’єднання незахищене, легко стає причиною закрити вкладку.

Окремо варто сказати про рекламу. Якщо кампанія веде на сторінку без HTTPS, частина людей не дійде до неї взагалі: вони побачать попередження й повернуться назад. Бюджет за клік уже списано, а в аналітиці такий візит може навіть не з’явитися, бо сторінка з лічильником так і не завантажилася.

«У мене є SSL — мене це не стосується»: де ховаються проблеми

Більшість бізнес-сайтів уже давно мають сертифікат, і головна сторінка відкривається з замочком. Через це легко вирішити, що новина не про вас. Але попередження з’являється не для «сайту» загалом, а для конкретної адреси, яку відкриває людина. І тут є кілька типових місць, де HTTPS немає або він не працює.

Старі домени, які перенаправляють на новий сайт

Компанія змінила назву чи домен, а старий залишила, щоб не втратити людей зі старих візиток і каталогів. Старий домен просто перенаправляє на новий, і часто — лише по HTTP, без сертифіката. Google окремо згадує такі випадки: багато сайтів використовують HTTP тільки для переходу, який одразу перенаправляє на HTTPS, і раніше користувачі цього взагалі не помічали. Тепер помітять: Chrome спробує відкрити старий домен по HTTPS, не зможе і покаже попередження ще до того, як спрацює перенаправлення.

Піддомени й окремі лендінги

Сертифікат на основний домен не захищає автоматично піддомени. Акційний лендінг на promo.вашсайт.ua, старий блог на blog.вашсайт.ua, тестова копія, форма бронювання на окремому піддомені — усе це окремі адреси, і для кожної потрібен свій сертифікат або сертифікат, що їх покриває.

Версія з www або без www

Буває, що сертифікат випущено лише на домен без www, а частина посилань у мережі веде на www-версію (або навпаки). Тоді на одній з адрес захищене з’єднання не встановлюється, і людина бачить або попередження, або помилку сертифіката.

Прострочений сертифікат

Безкоштовні сертифікати Let’s Encrypt діють 90 днів і продовжуються автоматично. Зазвичай. Якщо автопродовження зламалося (змінили DNS, перенесли сайт на інший хостинг, закінчився пробний період сервісу), сайт раптом перестає відкриватися по HTTPS. Це навіть гірше, ніж нове попередження: Chrome показує повноекранну помилку безпеки, через яку більшість людей не пройде. Детальніше про те, який сертифікат обрати і чи є сенс платити, ми писали в статті про платні та безкоштовні SSL-сертифікати.

Посилання з трекінгом у розсилках і скорочувачах

Сервіси email-розсилок і скорочувачі посилань часто ведуть людину через свій проміжний домен, щоб порахувати кліки. Якщо ви налаштовували власний домен для трекінгу (наприклад, click.вашсайт.ua) і не підключили для нього сертифікат, попередження з’явиться на кожному кліку з листа.

Що НЕ є проблемою

Щоб не панікувати даремно: якщо на вашому сайті є робочий HTTPS, Chrome сам відкриє захищену версію, навіть коли людина переходить за старим посиланням з http:// на початку. Тобто посилання з http:// у профілі Google Business чи на старій візитці самі по собі не викличуть попередження, якщо захищена версія сайту існує й сертифікат дійсний. Виправити їх однаково варто, але це не термінова проблема.

Як перевірити свій сайт за 10–15 хвилин

Перевірку можна зробити самостійно, без технічних знань. Головне — пройтися не лише по головній сторінці, а по всіх адресах, через які до вас приходять люди. Відкривайте їх у вікні анонімного перегляду (Ctrl+Shift+N), щоб Chrome не підставляв збережені рішення.

Крок 1. Складіть список адрес

Випишіть усе, що пов’язано з вашим бізнесом: основний домен з www і без www, старі домени, піддомени, адреси лендінгів, домени, які купували «про запас», посилання з рекламних кампаній, QR-кодів, профілю в Google Картах, соцмереж і розсилок. Часто саме на цьому етапі з’ясовується, що лендінг дворічної давнини досі живий і крутиться в рекламі.

Крок 2. Відкрийте кожну адресу з http://

Введіть адресу вручну саме з http:// на початку і подивіться, що відбувається. Норма — сайт відкривається, в адресному рядку https:// і замочок. Якщо з’являється сторінка-попередження про незахищене з’єднання — для цієї адреси HTTPS не працює. Якщо з’являється червона сторінка про помилку сертифіката — сертифікат прострочений або виданий не на цю адресу.

Крок 3. Перевірте сертифікат

Натисніть на значок ліворуч від адреси → «З’єднання захищене» → «Сертифікат дійсний». Там видно, на які домени виданий сертифікат і до якої дати він діє. Якщо до кінця терміну залишилося кілька днів, а автопродовження ви не налаштовували — це привід написати хостеру вже сьогодні. Для глибшої перевірки підійде безкоштовний SSL Server Test від Qualys SSL Labs.

Крок 4. Перевірте сайт на змішаний вміст

Якщо сторінка відкрилася по HTTPS, але замочок перекреслений або в адресному рядку є попередження, на сторінці є ресурси, які завантажуються по HTTP: картинки, скрипти, шрифти, вбудовані форми. Це окрема проблема, не та, про яку новина, але вона теж псує враження і може ламати форми. У Chrome її видно в інструментах розробника (F12 → вкладка Console, повідомлення Mixed Content).

Крок 5. Перевірте, що бачать ваші клієнти

Попросіть колегу чи знайомого відкрити сайт зі свого смартфона, перейти за посиланням із розсилки, відсканувати QR-код із поліграфії. Свіжий пристрій покаже те, що бачить новий клієнт, а не ваш браузер, де все давно відкривалося.

Що робити, якщо щось знайшли

Добра новина в тому, що майже всі ці проблеми вирішуються швидко і безкоштовно. Сертифікати Let’s Encrypt видаються на будь-який домен і піддомен, а більшість українських хостингів підключають їх кількома кліками в панелі керування. Складніше лише там, де сайт давно ніхто не обслуговує і незрозуміло, де він розміщений.

Немає сертифіката на домені чи піддомені

Підключіть безкоштовний сертифікат у панелі хостингу або попросіть про це хостера. Якщо адреса використовується лише для перенаправлення (старий домен), сертифікат однаково потрібен: перенаправлення має працювати і з http://, і з https://, інакше Chrome покаже попередження до того, як воно спрацює. Якщо адреса вам більше не потрібна, краще прибрати її з обігу і замінити посилання.

Сертифікат не покриває www або піддомени

Перевипустіть сертифікат так, щоб у ньому були обидва варіанти домену (з www і без), а для піддоменів — окремі сертифікати або wildcard-сертифікат на *.вашсайт.ua. Після цього налаштуйте одну основну адресу і 301-перенаправлення з усіх інших на неї.

Сертифікат прострочився або не продовжується

Продовжте сертифікат вручну, а потім з’ясуйте, чому зламалося автопродовження: найчастіше це зміна DNS, перенесення сайту чи блокування перевірки домену налаштуваннями сервера. Варто налаштувати нагадування про закінчення терміну — хостинг, домен і сертифікат зручно контролювати разом, як це робиться в межах техпідтримки сайту з контролем SSL і хостингу.

Сайт на WordPress досі відкривається по HTTP

Після підключення сертифіката змініть адресу сайту на https:// у «Налаштування → Загальні», замініть старі http-посилання в базі даних (для цього є плагіни на кшталт Better Search Replace — перед заміною обов’язково зробіть резервну копію) і налаштуйте 301-перенаправлення з HTTP на HTTPS на рівні сервера. Після цього перевірте форми, оплату, кошик і сторінку подяки: саме там найчастіше залишаються старі адреси. Якщо в сайті багато нестандартного коду, такі зміни безпечніше доручити тим, хто займається доопрацюванням сайтів на WordPress.

Змішаний вміст на сторінках

Замініть у шаблоні та контенті посилання на картинки, скрипти й шрифти з http:// на https:// або на відносні. Сторонні віджети (старі карти, лічильники, форми) оновіть до актуальних версій коду — більшість сервісів давно видають код лише з HTTPS.

HTTPS і SEO: що змінюється для позицій у Google

Сама по собі новина стосується браузера, а не алгоритмів пошуку: Google не оголошував, що сайти без HTTPS почнуть понижувати у видачі сильніше, ніж раніше. HTTPS як сигнал ранжування Google використовує ще з 2014 року, і вага в нього невелика. Тому не варто чекати, що підключення сертифіката саме по собі підніме сайт у пошуку.

Але непрямий ефект є. Людина, яка перейшла з пошуку і побачила попередження, з високою ймовірністю повернеться до видачі й обере конкурента. Для сайту це означає менше заявок із того самого трафіку, а для Google — сигнал, що результат не задовольнив користувача.

Після переходу на HTTPS переконайтеся, що в Google Search Console додано саме https-версію сайту, у карті сайту всі адреси з https://, а канонічні посилання на сторінках вказують на захищені адреси. Інакше пошук може ще довго показувати старі http-адреси.

Типові помилки власників сайтів

Більшість проблем з HTTPS виникає не через складність технології, а через те, що за сайтом ніхто регулярно не стежить. Ось що ми найчастіше бачимо на практиці:

• Перевіряють лише головну сторінку основного домену і на цьому зупиняються.
• Залишають старий домен для перенаправлення без сертифіката.
• Забувають про піддомени з акційними лендінгами, які досі отримують трафік.
• Випускають сертифікат лише на домен без www (або лише з www).
• Не стежать за автопродовженням Let’s Encrypt після перенесення сайту чи зміни DNS.
• Налаштовують перенаправлення з HTTP на HTTPS лише частково — для однієї версії домену.
• Підключають сертифікат, але не змінюють адресу сайту в WordPress, і половина посилань веде на http://.
• Роблять заміну адрес у базі даних без резервної копії.
• Залишають на сторінках картинки, скрипти й форми, що завантажуються по HTTP.
• Не оновлюють посилання в рекламних кампаніях і шаблонах розсилок.
• Друкують QR-коди на старі адреси, які потім ніхто не підтримує.
• Не додають https-версію сайту в Google Search Console.
• Покладаються на те, що «у мене все відкривається», не перевіряючи сайт з чистого браузера.

Чек-лист перевірки HTTPS для вашого сайту

Пройдіться цим списком один раз зараз, а потім повертайтеся до нього раз на кілька місяців або після будь-яких змін на сайті чи хостингу:

• Складено список усіх доменів, піддоменів і лендінгів компанії.
• Основний домен відкривається по HTTPS з www і без www.
• Усі варіанти адреси перенаправляють 301-редиректом на одну основну.
• Старі домени мають сертифікат і коректно перенаправляють на новий сайт.
• Піддомени, які використовуються, мають власні сертифікати.
• Непотрібні піддомени та лендінги вимкнено або перенаправлено.
• Сертифікат дійсний, термін дії і домени в ньому перевірено.
• Автопродовження сертифіката працює, є нагадування про закінчення терміну.
• У WordPress адреса сайту вказана з https://.
• У базі даних немає внутрішніх посилань з http://.
• На сторінках немає змішаного вмісту (Console без помилок Mixed Content).
• Форми, кошик, оплата і сторінка подяки працюють по HTTPS.
• Посилання в рекламі ведуть на https-адреси.
• Посилання в шаблонах розсилок і власний домен трекінгу працюють по HTTPS.
• У профілі Google Business, соцмережах і каталогах вказано https-адресу.
• QR-коди на поліграфії ведуть на робочі адреси.
• У Google Search Console додано https-версію сайту.
• Карта сайту і канонічні посилання містять лише https-адреси.
• Сайт перевірено з чистого браузера і зі смартфона.

Часті питання

Чи побачать мої відвідувачі попередження, якщо на сайті є SSL-сертифікат?

Ні, якщо сертифікат дійсний і виданий на ту адресу, яку відкриває людина. Chrome сам спробує HTTPS і відкриє захищену версію навіть за посиланням з http://. Попередження з’явиться лише там, де захищеного з’єднання немає: на адресах без сертифіката, на старих доменах, піддоменах тощо.

Попередження з’являється тільки в Chrome?

Ця зміна — рішення Google щодо Chrome. В інших браузерах подібні режими теж є, але можуть бути вимкнені за замовчуванням або працювати інакше. Оскільки Chrome — найпопулярніший браузер в Україні, орієнтуватися варто на нього.

Скільки коштує перехід на HTTPS?

Сам сертифікат може бути безкоштовним: Let’s Encrypt підходить більшості бізнес-сайтів. Витрати виникають на налаштування: перенаправлення, заміну посилань, перевірку форм і оплати, особливо якщо сайт старий або має нестандартний код.

Чи вплине перехід на HTTPS на позиції в Google?

Правильно зроблений перехід з 301-перенаправленнями не шкодить позиціям. Помилки (відсутні редиректи, дублі http і https, старі адреси в карті сайту) можуть тимчасово їх просадити, тому після переходу варто перевірити Search Console.

Чи можна попросити клієнтів просто вимкнути це налаштування?

Технічно так, але на практиці це не працює: нові відвідувачі не знають про вас достатньо, щоб змінювати заради вашого сайту налаштування безпеки. Простіше і дешевше підключити сертифікат.

Як часто перевіряти сертифікат?

Якщо автопродовження налаштоване, достатньо перевірки раз на кілька місяців і після будь-яких змін: перенесення сайту, зміни DNS чи хостингу. А надійніше — доручити це тим, хто веде сайт, щоб про закінчення терміну дізнавалися заздалегідь, а не від клієнтів.

Замочок в адресному рядку тепер вирішує, чи побачать ваш сайт

Зміна в Chrome не робить HTTPS новою вимогою — він давно є стандартом. Вона прибирає можливість його не помічати. Раніше сайт без захищеного з’єднання просто мав сіру позначку, на яку мало хто звертав увагу. Тепер браузер зупиняє людину на порозі й питає, чи варто йти далі. І відповідає на це питання вже не ваш сайт, а попередження.

Тому варто витратити чверть години на перевірку всіх адрес, через які до вас приходять клієнти, а не лише головної сторінки. Якщо все гаразд — чудово. Якщо знайшлися старі домени, лендінги чи прострочений сертифікат, краще виправити це зараз, ніж з’ясовувати через місяць, чому реклама працює гірше. А щоб такі речі не ставали сюрпризом, корисно мати когось, хто займається веденням сайту і стежить за його технічним станом, — і ознайомитися з нашим гайдом із захисту WordPress від зламу.

Команда Webatom з 2010 року займається створенням сайтів під ключ в Україні та їхньою підтримкою. Якщо хочете, щоб ми перевірили ваш сайт і всі пов’язані адреси на HTTPS, напишіть нам — подивимося і скажемо, що потрібно виправити.