Le 21 octobre 2026, Google a annoncé que Chrome avait activé par défaut « Always Use Secure Connections » pour tous ses utilisateurs. Si le navigateur ne parvient pas à se connecter en HTTPS mais estime qu’une connexion HTTP peut fonctionner, il demande l’autorisation avant de poursuivre. Accepter ne chiffre pas la connexion HTTP.
Quand Chrome affiche-t-il l’avertissement ?
Chrome demande l’autorisation lorsqu’une connexion HTTPS échoue et qu’un accès en HTTP pourrait aboutir. En revanche, si vous saisissez directement une adresse commençant par https:// et que la connexion échoue, Chrome affiche une erreur réseau classique : il ne bascule pas vers HTTP. Les sites qui utilisent HSTS, un mécanisme qui impose HTTPS, ne font pas non plus l’objet d’un repli vers HTTP.
Une redirection peut toutefois déclencher l’avertissement avant l’arrivée sur une page HTTPS. Il suffit qu’une étape du parcours passe par HTTP, même si la destination finale est sécurisée. Pour éviter ces alertes, les responsables de sites doivent prendre en charge HTTPS à chaque étape de la redirection. Ils peuvent repérer les étapes concernées dans l’onglet Network des outils de développement Chrome, DevTools.
Mémoriser ou modifier son choix
Si vous autorisez la connexion HTTP, Chrome mémorise votre choix pendant 15 jours. Une nouvelle visite renouvelle ce délai. Pour désactiver « Always Use Secure Connections », ouvrez chrome://settings/security. Chrome conserve aussi le réglage choisi par l’utilisateur avant le déploiement par défaut.
Les avertissements ne s’affichent pas par défaut pour certains noms et hôtes locaux, notamment localhost, les noms à un seul niveau comme intranet/ et les adresses IP locales comme 192.168.0.1. En entreprise, Chromium documente les règles HttpAllowlist, qui permet d’exclure des hôtes précis, et HttpsOnlyMode, qui permet de gérer ce réglage.
Ce que l’avertissement change pour la sécurité
L’invite apparaît avant une éventuelle connexion non chiffrée, tandis que l’ancien indicateur « Non sécurisé » s’affichait après la connexion et pouvait passer inaperçu lors d’un bref détour HTTP. Autoriser l’accès signifie que Chrome peut poursuivre en HTTP ; cela ne transforme pas le site en connexion HTTPS et ne certifie pas la fiabilité du site.
Pour les premières données de déploiement, Google indiquait que près de 95 % des utilisateurs de Chrome sur ordinateur n’avaient vu aucun avertissement HTTP au cours d’une semaine donnée, et que moins de 1 % en avaient vu au moins trois. Google décrivait des taux d’avertissement plus faibles sur mobile, sans préciser de pourcentage.
