Chrome usará HTTPS por defecto en 2026: el fin de la web insegura

Desde hace más de una década, el equipo de seguridad de Chrome tiene una misión clara: hacer que sea seguro hacer clic en cualquier enlace. Sin el cifrado con HTTPS, esa garantía desaparece. Los atacantes pueden interceptar el tráfico y manipularlo para inyectar código malicioso, redirigir a sitios falsos o robar credenciales.

El comunicado oficial de Chrome lo deja claro: “Cuando los enlaces no usan HTTPS, un atacante puede secuestrar la navegación y forzar al usuario a cargar recursos bajo su control, exponiéndolo a explotación, malware o ingeniería social.”

Estas técnicas no son teóricas. El software para interceptar conexiones HTTP está fácilmente disponible y ya ha sido utilizado en campañas reales para comprometer dispositivos mediante descargas manipuladas o falsos portales de actualización.

De opción a norma: HTTPS por defecto

Google introdujo el ajuste Always Use Secure Connections en 2022 como una característica opcional. Cuando estaba activado, Chrome intentaba conectarse siempre mediante HTTPS y mostraba una advertencia —que podía ignorarse— si el sitio no lo admitía.

Tres años después, esa opción pasará a ser el valor por defecto para todos los usuarios. En palabras del equipo de Chrome: “Ha llegado el momento. HTTPS es maduro, universal y necesario.”

El cambio llega tras un largo recorrido. Desde que Google empezó a publicar su informe de transparencia HTTPS en 2015, el porcentaje de tráfico cifrado creció del 30-45 % a cerca del 99 % en 2020. Pero desde entonces, el progreso se estancó. Esa estabilidad en torno al 95-99 % indica que la mayoría del tráfico web ya es seguro, y permite dar el siguiente paso: proteger automáticamente al usuario frente al pequeño porcentaje de sitios que siguen usando HTTP.

Soluciones para la red local y el contenido mixto

Uno de los mayores obstáculos para el HTTPS total son las restricciones de contenido mixto. Cuando un sitio HTTPS intenta comunicarse con un recurso HTTP —por ejemplo, un dispositivo en la red local—, Chrome bloquea la conexión por motivos de seguridad.

Para resolverlo, Google ha introducido un nuevo permiso de acceso a la red local, que permite a los usuarios autorizar explícitamente ese tráfico. De esta forma, un sitio seguro podrá gestionar dispositivos locales sin recurrir a conexiones no cifradas.

Esta novedad facilitará que fabricantes de routers, cámaras o impresoras migren sus portales de configuración a HTTPS sin sacrificar funcionalidad.

Calendario del cambio

El despliegue del HTTPS por defecto seguirá una transición gradual:

• Abril de 2026 (Chrome 147): el ajuste se activará automáticamente para los más de 1.000 millones de usuarios que ya utilizan la Protección Mejorada de Navegación Segura.
• Octubre de 2026 (Chrome 154): “Always Use Secure Connections” se habilitará por defecto para todos los usuarios del navegador.

Aun así, será posible desactivar manualmente la función en la configuración avanzada (chrome://settings/security), aunque Google recomienda mantenerla activa.

Los desarrolladores web y administradores de sistemas pueden anticiparse habilitando ya el modo seguro en sus entornos para identificar qué sitios necesitan migrar a HTTPS antes del cambio global.

Hacia un futuro sin HTTP

La decisión de Google supone el paso final hacia una web cifrada por defecto, una visión que comenzó hace más de una década con el impulso de iniciativas como Let’s Encrypt.

Aún quedan desafíos: simplificar la obtención de certificados para entornos locales y reducir la fricción en redes privadas. Pero con la adopción casi universal del HTTPS y nuevas herramientas que eliminan las barreras técnicas, el camino parece claro.

“Advertir sobre los sitios inseguros es solo el principio”, asegura el equipo de Chrome. “Nuestro objetivo final es eliminar el HTTP como vía de ataque”.

Para los usuarios, el cambio apenas será perceptible; para los ciberdelincuentes, supondrá un cerrojo más en la puerta de entrada a millones de dispositivos.

A partir de 2026, cada clic en Chrome será más seguro. Y aunque la web no será perfecta, al menos dejará de ser vulnerable por defecto.