Chrome теперь предупреждает перед открытием сайтов без HTTPS: как проверить, что ваш сайт не отпугивает клиентов

Что изменилось в Chrome в октябре 2026 года

Настройка «Всегда использовать защищенные подключения» (Always Use Secure Connections) в Chrome не новая: ее добавили еще в 2022 году как опцию для тех, кто сам захочет включить. Четыре года она была выключена по умолчанию, и большинство людей о ней даже не знало. Теперь Google сделал ее стандартным поведением браузера для всех.

В этом режиме Chrome сначала пробует открыть каждый сайт через защищенное соединение HTTPS. Если защищенной версии нет, браузер не открывает страницу сразу, а показывает предупреждение и спрашивает пользователя, действительно ли он хочет продолжить. Раньше человек видел только пометку «Не защищено» в адресной строке уже после того, как страница загрузилась. Теперь решение приходится принимать еще до того, как он увидит ваш сайт.

Хронология

• 2022 год. В Chrome появляется настройка «Всегда использовать защищенные подключения», по умолчанию выключенная.
• 28 октября 2025 года. Команда безопасности Chrome объявляет план: включить предупреждение для публичных сайтов без HTTPS для всех пользователей в октябре 2026 года, в версии Chrome 154.
• Апрель 2026 года. В Chrome 147 режим включается для пользователей, выбравших расширенную защиту Safe Browsing (Enhanced Protection).
• 21 октября 2026 года. Google сообщает, что предупреждение перед открытием незащищенных сайтов теперь включено по умолчанию для всех пользователей Chrome на компьютерах и смартфонах.

В разных источниках встречаются разные номера версии, с которой изменение включается для всех: 154 или 155. Для владельца сайта это не принципиально: обновление Chrome устанавливается автоматически, так что в ближайшие недели предупреждение увидит подавляющее большинство посетителей, которые пользуются этим браузером.

Как работает предупреждение и когда оно появляется

Google сознательно сделал новый режим «мягким», чтобы не заваливать людей окнами. Предупреждение можно пропустить, а частота его появления ограничена. Важно понимать правила, потому что от них зависит, кто именно из ваших посетителей его увидит.

Кто видит предупреждение

• Новые посетители. Chrome спрашивает разрешения при первом переходе на публичный сайт без HTTPS.
• Те, кто давно не заходил. Если человек согласился открыть сайт, браузер запоминает выбор. По данным Chrome Unboxed, предупреждение повторится, если он не посещал сайт как минимум две недели.
• Постоянные посетители его почти не видят. Google прямо пишет: пока пользователь регулярно посещает незащищенный сайт, Chrome не будет предупреждать о нем каждый раз.

На какие адреса предупреждение не распространяется

Предупреждение касается только публичных сайтов. Локальные адреса вроде 192.168.0.1 (настройки роутера), однословные внутренние имена («intranet») и другие адреса в частной сети открываются по HTTP без предупреждений, потому что получить для них публичный сертификат невозможно. То есть офисный сервер или камера в локальной сети ничего не заметят, а вот сайт компании в интернете — да.

Можно ли это отключить

Пользователь может отключить настройку сам: «Настройки → Конфиденциальность и безопасность → Безопасность → Всегда использовать защищенные подключения». Но рассчитывать на это не стоит: обычный клиент не полезет в настройки браузера ради сайта, о котором узнал пять минут назад. Он просто нажмет «Назад» и перейдет к следующему результату поиска.

Почему это важно, даже если предупреждений «мало»

Google приводит успокаивающие цифры: по данным раннего развертывания, около 95% пользователей Chrome на компьютерах не видят за неделю ни одного такого предупреждения, а три и больше — меньше 1%. Доля HTTPS в интернете давно превысила 95%, так что для большинства людей ничего не изменится. Но эта статистика описывает пользователей, а не сайты.

Если ваш сайт или отдельный его адрес работает без HTTPS, предупреждение увидят не 5% посетителей, а практически каждый новый. А новые посетители — это как раз те люди, за которых вы платите: клик из рекламы, переход из Google Карт, скан QR-кода с листовки, ссылка из каталога или рассылки. Именно на этом этапе человек еще не доверяет вам, и сообщение браузера о том, что соединение не защищено, легко становится причиной закрыть вкладку.

Отдельно стоит сказать о рекламе. Если кампания ведет на страницу без HTTPS, часть людей не дойдет до нее вообще: они увидят предупреждение и вернутся назад. Бюджет за клик уже списан, а в аналитике такой визит может даже не появиться, потому что страница со счетчиком так и не загрузилась.

«У меня есть SSL — меня это не касается»: где прячутся проблемы

Большинство бизнес-сайтов давно имеют сертификат, и главная страница открывается с замочком. Поэтому легко решить, что новость не про вас. Но предупреждение появляется не для «сайта» в целом, а для конкретного адреса, который открывает человек. И здесь есть несколько типичных мест, где HTTPS нет или он не работает.

Старые домены, которые перенаправляют на новый сайт

Компания сменила название или домен, а старый оставила, чтобы не потерять людей со старых визиток и каталогов. Старый домен просто перенаправляет на новый, и часто — только по HTTP, без сертификата. Google отдельно упоминает такие случаи: многие сайты используют HTTP только для перехода, который сразу перенаправляет на HTTPS, и раньше пользователи этого вообще не замечали. Теперь заметят: Chrome попробует открыть старый домен по HTTPS, не сможет и покажет предупреждение еще до того, как сработает перенаправление.

Поддомены и отдельные лендинги

Сертификат на основной домен не защищает поддомены автоматически. Акционный лендинг на promo.вашсайт.ua, старый блог на blog.вашсайт.ua, тестовая копия, форма бронирования на отдельном поддомене — все это отдельные адреса, и для каждого нужен свой сертификат или сертификат, который их покрывает.

Версия с www или без www

Бывает, что сертификат выпущен только на домен без www, а часть ссылок в сети ведет на www-версию (или наоборот). Тогда на одном из адресов защищенное соединение не устанавливается, и человек видит либо предупреждение, либо ошибку сертификата.

Просроченный сертификат

Бесплатные сертификаты Let’s Encrypt действуют 90 дней и продлеваются автоматически. Обычно. Если автопродление сломалось (изменили DNS, перенесли сайт на другой хостинг, закончился пробный период сервиса), сайт вдруг перестает открываться по HTTPS. Это даже хуже нового предупреждения: Chrome показывает полноэкранную ошибку безопасности, через которую большинство людей не пройдет. Подробнее о том, какой сертификат выбрать и есть ли смысл платить, мы писали в статье о платных и бесплатных SSL-сертификатах.

Ссылки с трекингом в рассылках и сокращателях

Сервисы email-рассылок и сокращатели ссылок часто ведут человека через свой промежуточный домен, чтобы посчитать клики. Если вы настраивали собственный домен для трекинга (например, click.вашсайт.ua) и не подключили для него сертификат, предупреждение появится на каждом клике из письма.

Что НЕ является проблемой

Чтобы не паниковать зря: если на вашем сайте есть рабочий HTTPS, Chrome сам откроет защищенную версию, даже когда человек переходит по старой ссылке с http:// в начале. То есть ссылки с http:// в профиле Google Business или на старой визитке сами по себе не вызовут предупреждения, если защищенная версия сайта существует и сертификат действителен. Исправить их все равно стоит, но это не срочная проблема.

Как проверить свой сайт за 10–15 минут

Проверку можно сделать самостоятельно, без технических знаний. Главное — пройтись не только по главной странице, а по всем адресам, через которые к вам приходят люди. Открывайте их в окне инкогнито (Ctrl+Shift+N), чтобы Chrome не подставлял сохраненные решения.

Шаг 1. Составьте список адресов

Выпишите все, что связано с вашим бизнесом: основной домен с www и без www, старые домены, поддомены, адреса лендингов, домены, купленные «про запас», ссылки из рекламных кампаний, QR-кодов, профиля в Google Картах, соцсетей и рассылок. Часто именно на этом этапе выясняется, что лендинг двухлетней давности до сих пор жив и крутится в рекламе.

Шаг 2. Откройте каждый адрес с http://

Введите адрес вручную именно с http:// в начале и посмотрите, что происходит. Норма — сайт открывается, в адресной строке https:// и замочек. Если появляется страница-предупреждение о незащищенном соединении — для этого адреса HTTPS не работает. Если появляется красная страница об ошибке сертификата — сертификат просрочен или выдан не на этот адрес.

Шаг 3. Проверьте сертификат

Нажмите на значок слева от адреса → «Подключение защищено» → «Сертификат действителен». Там видно, на какие домены выдан сертификат и до какой даты он действует. Если до конца срока осталось несколько дней, а автопродление вы не настраивали — это повод написать хостеру уже сегодня. Для более глубокой проверки подойдет бесплатный SSL Server Test от Qualys SSL Labs.

Шаг 4. Проверьте сайт на смешанное содержимое

Если страница открылась по HTTPS, но замочек перечеркнут или в адресной строке есть предупреждение, на странице есть ресурсы, которые загружаются по HTTP: картинки, скрипты, шрифты, встроенные формы. Это отдельная проблема, не та, о которой новость, но она тоже портит впечатление и может ломать формы. В Chrome ее видно в инструментах разработчика (F12 → вкладка Console, сообщения Mixed Content).

Шаг 5. Проверьте, что видят ваши клиенты

Попросите коллегу или знакомого открыть сайт со своего смартфона, перейти по ссылке из рассылки, отсканировать QR-код с полиграфии. Свежее устройство покажет то, что видит новый клиент, а не ваш браузер, где все давно открывалось.

Что делать, если что-то нашли

Хорошая новость в том, что почти все эти проблемы решаются быстро и бесплатно. Сертификаты Let’s Encrypt выдаются на любой домен и поддомен, а большинство украинских хостингов подключают их в несколько кликов в панели управления. Сложнее только там, где сайт давно никто не обслуживает и непонятно, где он размещен.

Нет сертификата на домене или поддомене

Подключите бесплатный сертификат в панели хостинга или попросите об этом хостера. Если адрес используется только для перенаправления (старый домен), сертификат все равно нужен: перенаправление должно работать и с http://, и с https://, иначе Chrome покажет предупреждение до того, как оно сработает. Если адрес вам больше не нужен, лучше убрать его из оборота и заменить ссылки.

Сертификат не покрывает www или поддомены

Перевыпустите сертификат так, чтобы в нем были оба варианта домена (с www и без), а для поддоменов — отдельные сертификаты или wildcard-сертификат на *.вашсайт.ua. После этого настройте один основной адрес и 301-перенаправления со всех остальных на него.

Сертификат просрочен или не продлевается

Продлите сертификат вручную, а затем выясните, почему сломалось автопродление: чаще всего это смена DNS, перенос сайта или блокировка проверки домена настройками сервера. Стоит настроить напоминания об окончании срока — хостинг, домен и сертификат удобно контролировать вместе, как это делается в рамках техподдержки сайта с контролем SSL и хостинга.

Сайт на WordPress до сих пор открывается по HTTP

После подключения сертификата смените адрес сайта на https:// в «Настройки → Общие», замените старые http-ссылки в базе данных (для этого есть плагины вроде Better Search Replace — перед заменой обязательно сделайте резервную копию) и настройте 301-перенаправление с HTTP на HTTPS на уровне сервера. После этого проверьте формы, оплату, корзину и страницу благодарности: именно там чаще всего остаются старые адреса. Если в сайте много нестандартного кода, такие изменения безопаснее поручить тем, кто занимается доработкой сайтов на WordPress.

Смешанное содержимое на страницах

Замените в шаблоне и контенте ссылки на картинки, скрипты и шрифты с http:// на https:// или на относительные. Сторонние виджеты (старые карты, счетчики, формы) обновите до актуальных версий кода — большинство сервисов давно выдают код только с HTTPS.

HTTPS и SEO: что меняется для позиций в Google

Сама по себе новость касается браузера, а не алгоритмов поиска: Google не объявлял, что сайты без HTTPS начнут понижать в выдаче сильнее, чем раньше. HTTPS как сигнал ранжирования Google использует еще с 2014 года, и вес у него небольшой. Поэтому не стоит ждать, что подключение сертификата само по себе поднимет сайт в поиске.

Но косвенный эффект есть. Человек, который перешел из поиска и увидел предупреждение, с высокой вероятностью вернется к выдаче и выберет конкурента. Для сайта это означает меньше заявок с того же трафика, а для Google — сигнал, что результат не удовлетворил пользователя.

После перехода на HTTPS убедитесь, что в Google Search Console добавлена именно https-версия сайта, в карте сайта все адреса с https://, а канонические ссылки на страницах указывают на защищенные адреса. Иначе поиск может еще долго показывать старые http-адреса.

Типичные ошибки владельцев сайтов

Большинство проблем с HTTPS возникает не из-за сложности технологии, а из-за того, что за сайтом никто регулярно не следит. Вот что мы чаще всего видим на практике:

• Проверяют только главную страницу основного домена и на этом останавливаются.
• Оставляют старый домен для перенаправления без сертификата.
• Забывают о поддоменах с акционными лендингами, которые до сих пор получают трафик.
• Выпускают сертификат только на домен без www (или только с www).
• Не следят за автопродлением Let’s Encrypt после переноса сайта или смены DNS.
• Настраивают перенаправление с HTTP на HTTPS лишь частично — для одной версии домена.
• Подключают сертификат, но не меняют адрес сайта в WordPress, и половина ссылок ведет на http://.
• Делают замену адресов в базе данных без резервной копии.
• Оставляют на страницах картинки, скрипты и формы, которые загружаются по HTTP.
• Не обновляют ссылки в рекламных кампаниях и шаблонах рассылок.
• Печатают QR-коды на старые адреса, которые потом никто не поддерживает.
• Не добавляют https-версию сайта в Google Search Console.
• Полагаются на то, что «у меня все открывается», не проверяя сайт из чистого браузера.

Чек-лист проверки HTTPS для вашего сайта

Пройдитесь по этому списку один раз сейчас, а потом возвращайтесь к нему раз в несколько месяцев или после любых изменений на сайте или хостинге:

• Составлен список всех доменов, поддоменов и лендингов компании.
• Основной домен открывается по HTTPS с www и без www.
• Все варианты адреса перенаправляют 301-редиректом на один основной.
• Старые домены имеют сертификат и корректно перенаправляют на новый сайт.
• Используемые поддомены имеют собственные сертификаты.
• Ненужные поддомены и лендинги отключены или перенаправлены.
• Сертификат действителен, срок действия и домены в нем проверены.
• Автопродление сертификата работает, есть напоминание об окончании срока.
• В WordPress адрес сайта указан с https://.
• В базе данных нет внутренних ссылок с http://.
• На страницах нет смешанного содержимого (Console без ошибок Mixed Content).
• Формы, корзина, оплата и страница благодарности работают по HTTPS.
• Ссылки в рекламе ведут на https-адреса.
• Ссылки в шаблонах рассылок и собственный домен трекинга работают по HTTPS.
• В профиле Google Business, соцсетях и каталогах указан https-адрес.
• QR-коды на полиграфии ведут на рабочие адреса.
• В Google Search Console добавлена https-версия сайта.
• Карта сайта и канонические ссылки содержат только https-адреса.
• Сайт проверен из чистого браузера и со смартфона.

Частые вопросы

Увидят ли мои посетители предупреждение, если на сайте есть SSL-сертификат?

Нет, если сертификат действителен и выдан на тот адрес, который открывает человек. Chrome сам попробует HTTPS и откроет защищенную версию даже по ссылке с http://. Предупреждение появится только там, где защищенного соединения нет: на адресах без сертификата, на старых доменах, поддоменах и т. д.

Предупреждение появляется только в Chrome?

Это изменение — решение Google относительно Chrome. В других браузерах похожие режимы тоже есть, но могут быть выключены по умолчанию или работать иначе. Поскольку Chrome — самый популярный браузер в Украине, ориентироваться стоит на него.

Сколько стоит переход на HTTPS?

Сам сертификат может быть бесплатным: Let’s Encrypt подходит большинству бизнес-сайтов. Затраты возникают на настройку: перенаправления, замену ссылок, проверку форм и оплаты, особенно если сайт старый или имеет нестандартный код.

Повлияет ли переход на HTTPS на позиции в Google?

Правильно сделанный переход с 301-перенаправлениями не вредит позициям. Ошибки (отсутствующие редиректы, дубли http и https, старые адреса в карте сайта) могут временно их просадить, поэтому после перехода стоит проверить Search Console.

Можно ли попросить клиентов просто отключить эту настройку?

Технически да, но на практике это не работает: новые посетители знают о вас недостаточно, чтобы менять ради вашего сайта настройки безопасности. Проще и дешевле подключить сертификат.

Как часто проверять сертификат?

Если автопродление настроено, достаточно проверки раз в несколько месяцев и после любых изменений: переноса сайта, смены DNS или хостинга. А надежнее — поручить это тем, кто ведет сайт, чтобы об окончании срока узнавали заранее, а не от клиентов.

Замочек в адресной строке теперь решает, увидят ли ваш сайт

Изменение в Chrome не делает HTTPS новым требованием — он давно стандарт. Оно убирает возможность его не замечать. Раньше сайт без защищенного соединения просто имел серую пометку, на которую мало кто обращал внимание. Теперь браузер останавливает человека на пороге и спрашивает, стоит ли идти дальше. И отвечает на этот вопрос уже не ваш сайт, а предупреждение.

Поэтому стоит потратить четверть часа на проверку всех адресов, через которые к вам приходят клиенты, а не только главной страницы. Если все в порядке — отлично. Если нашлись старые домены, лендинги или просроченный сертификат, лучше исправить это сейчас, чем выяснять через месяц, почему реклама работает хуже. А чтобы такие вещи не становились сюрпризом, полезно иметь кого-то, кто занимается ведением сайта и следит за его техническим состоянием, — и ознакомиться с нашим гайдом по защите WordPress от взлома.

Команда Webatom с 2010 года занимается созданием сайтов под ключ в Украине и их поддержкой. Если хотите, чтобы мы проверили ваш сайт и все связанные адреса на HTTPS, напишите нам — посмотрим и скажем, что нужно исправить.