Chrome pedirá permiso antes de abrir webs sin HTTPS: así afecta a tu negocio

Qué ha pasado

Google anunció el 21 de octubre que Chrome pide ahora permiso al usuario antes de cargar una página por HTTP, es decir, sin cifrar. Hasta ahora el navegador se limitaba a mostrar la etiqueta «No seguro» cuando la página ya estaba abierta. Con el cambio, la visita se detiene y el usuario tiene que aceptar expresamente seguir adelante.

La función ya existía desde principios de año para quienes tenían activada la Protección mejorada de Navegación segura. Ahora se activa por defecto para todos los usuarios. El aviso sale la primera vez que se entra en una web HTTP; si el usuario acepta, no vuelve a aparecer salvo que pasen dos semanas o más sin visitar ese sitio. Quedan fuera, por defecto, las direcciones que no pueden tener un certificado público, como las IP locales o los nombres internos de una sola palabra.

Según los datos de Google en las primeras semanas, casi el 95 % de los usuarios de Chrome en ordenador no vio ningún aviso en una semana y menos del 1 % vio tres o más. En el móvil la proporción es aún menor. Google dice que es el primer navegador que lo activa para todos y que espera que otros lo sigan.

Por qué le importa a tu empresa

Si tu web, o una parte de ella, todavía se sirve sin HTTPS, cada cliente nuevo que llegue desde Chrome se encontrará una pantalla que le pregunta si de verdad quiere entrar. Mucha gente se dará la vuelta ahí mismo. No hace falta que sea la web principal: basta con una tienda antigua en un subdominio, una página de reservas, un formulario de presupuesto o una landing de una campaña que alguien montó hace años.

Además, una página sin cifrar es un problema de protección de datos si recoge nombres, correos o teléfonos: el RGPD exige medidas de seguridad adecuadas, y enviar datos personales sin cifrar difícilmente lo es.

Mi opinión

Me parece un cambio sensato y lo esperábamos. La mayoría de webs ya tiene certificado, y los números de Google lo confirman. Pero en las revisiones seguimos encontrando restos: subdominios olvidados, certificados que caducaron porque la renovación automática falló, o enlaces en catálogos, firmas de correo y códigos QR que siguen apuntando a la dirección antigua. Nada de esto se ve desde dentro de la empresa, porque quien la gestiona ya aceptó el aviso hace tiempo o entra por la dirección correcta.

No es una urgencia para quien ya tiene todo en HTTPS, pero sí una buena excusa para comprobarlo con calma. En XEVIA revisamos el certificado y las redirecciones dentro de cualquier análisis de la web.

Qué hacer hoy

• Abre tu web en una ventana de incógnito de Chrome y comprueba que carga con candado, también en cada subdominio que uses.
• Asegúrate de que la dirección con http:// redirige automáticamente a la versión https://.
• Revisa que la renovación del certificado sea automática y que alguien reciba el aviso si falla.
• Actualiza a https:// los enlaces de firmas de correo, códigos QR, folletos y fichas de Google Business Profile.
• Comprueba que ningún formulario que recoge datos personales se envía a una dirección sin cifrar.