Chrome pyta teraz domyślnie każdego o zgodę, zanim otworzy publiczną stronę bez HTTPS, więc wizytówka firmy albo blog bez certyfikatu witają nowego gościa ostrzeżeniem. Google ogłosił to 21 października 2026 roku. Do tej pory Google włączał pytanie domyślnie tylko użytkownikom Ochrony rozszerzonej. Pozostali mogli włączyć je ręcznie, a bez tego widzieli w pasku adresu dyskretny napis “Niezabezpieczona”. Chrome strony nie blokuje: po kliknięciu zgody otworzy ją jak zwykle. Właściciel strony pozbędzie się ostrzeżenia, gdy włączy na niej HTTPS, a przekierowanie ruchu z HTTP domknie przenosiny.
Stan na 21 października 2026, 21:55. Wpis Google z 21.10 (17:00 UTC), strony pomocy hostingów odczytane tego samego wieczoru.
Co się zmieniło w Chrome 21 października
Chrome ma ustawienie “Zawsze używaj bezpiecznych połączeń”. Gdy jest włączone, przeglądarka próbuje otworzyć każdą stronę przez HTTPS. Jeśli strona tego nie obsługuje, pokazuje pełnoekranowe ostrzeżenie. W polskiej pomocy Chrome ten komunikat brzmi “Połączenie z tą witryną nie jest bezpieczne”. We wpisie z 21 października Google pisze, że wcześniej w 2026 roku włączał to ustawienie użytkownikom Ochrony rozszerzonej, a teraz włączył je domyślnie wszystkim.
Wpis nie podaje numeru wersji ani tempa wdrożenia. Rok temu Google zapowiadał tę zmianę na Chrome 154, a 20 października do kanału stabilnego trafił już Chrome 156. Z komunikatów Google nie wynika, z którą aktualizacją ostrzeżenie dociera do konkretnego komputera. Google podaje tylko, że włączył je domyślnie wszystkim.
Google tłumaczy zmianę tym, że napis “Niezabezpieczona” działa po fakcie. Pojawia się, gdy dane już poszły otwartym tekstem, a przy krótkim przekierowaniu z HTTP na HTTPS użytkownik nie widzi go wcale. Pytanie przed połączeniem daje szansę, żeby się wycofać. Google dodaje, że Chrome jest pierwszą przeglądarką, która wprowadza taką zmianę.
Kiedy Chrome pokaże pytanie, a kiedy nie
Chrome pyta przy pierwszej wizycie na publicznej stronie, która działa tylko po HTTP. Po kliknięciu zgody nie ostrzega o tej stronie ponownie, dopóki użytkownik nie przestanie jej odwiedzać na co najmniej dwa tygodnie. Bez pytania otwierają się adresy, dla których nie da się uzyskać publicznie zaufanego certyfikatu.
| Sytuacja | Czy Chrome zapyta? |
|---|---|
Pierwsze wejście na publiczną stronę tylko po HTTP, np. http://przyklad.pl | Tak |
| Kolejne wejścia na tę samą stronę po wyrażeniu zgody | Nie, dopóki odwiedzasz ją co najmniej raz na dwa tygodnie |
| Ponowne wejście po co najmniej dwóch tygodniach przerwy | Tak |
| Strona z działającym HTTPS | Nie |
Lokalny adres IP, np. panel routera 192.168.0.1 | Nie (domyślnie) |
Nazwa jednoczłonowa w sieci firmowej, np. intranet/ | Nie (domyślnie) |
Według wczesnych danych Google prawie 95% użytkowników Chrome na komputerach nie widzi w tygodniu żadnego takiego ostrzeżenia, a mniej niż 1% widzi trzy lub więcej. Na telefonach ostrzeżeń jest jeszcze mniej. Dla większości osób zmiana będzie więc niewidoczna. Odczują ją odwiedzający stare strony: wizytówki sprzed lat, małe sklepy i fora, których nikt nie przeniósł na HTTPS.
Tego komunikatu nie należy mylić z błędem “Połączenie nie jest prywatne”. Ten drugi, pełnoekranowy błąd oznacza według pomocy Chrome problem ze stroną, siecią albo urządzeniem. To osobny mechanizm i nowa zmiana go nie dotyczy.
Strona niezabezpieczona: co zrobić, gdy widzisz ostrzeżenie jako użytkownik
Ostrzeżenie mówi, że to, co wpiszesz albo zobaczysz na tej stronie, może przeczytać lub zmienić ktoś po drodze. Dotyczy to na przykład publicznej sieci Wi-Fi. Gdy tylko czytasz rozkład jazdy albo przepis, ryzyko ujawnienia danych jest mniejsze. Ktoś po drodze może jednak podmienić treść albo wstrzyknąć złośliwy kod, przed czym ostrzega też Google. Na stronie bez HTTPS nie wpisuj haseł, danych karty ani danych osobowych.
Ustawienie można wyłączyć, choć nie polecamy tego robić. Według pomocy Chrome znajduje się ono w menu Więcej > Ustawienia > Prywatność i bezpieczeństwo > Bezpieczeństwo, w sekcji “Bezpieczne połączenia”. Pomoc opisuje dwa warianty: “Ostrzegaj przed niezabezpieczonymi witrynami publicznymi” i “Ostrzegaj przed niebezpiecznymi witrynami publicznymi i prywatnymi”. Rozsądniej jest kliknąć zgodę dla jednej znanej strony niż wyłączać ochronę dla wszystkich.
Pierwsza Misja AI · Kodożercy
Zagrożenia AI rozumie ten, kto wie, jak ona działa
Kurs Pierwsza Misja AI ma osobną lekcję o ciemnej stronie AI: halucynacje, deepfakes, manipulacja. Zanim zaczniesz się bać, zacznij rozumieć.
Poznaj pełny program →
Strona niezabezpieczona: jak to zmienić na własnej stronie
Ostrzeżenie znika, gdy strona odpowiada przez HTTPS, czyli po włączeniu certyfikatu SSL. Pełne przenosiny mają jednak trzy kroki: certyfikat, przekierowanie ruchu z HTTP na HTTPS i poprawienie zasobów, które nadal ładują się po HTTP. Na większości hostingów pierwsze dwa to kilka kliknięć w panelu, a trzeci zależy od tego, jak zbudowano stronę.
Krok 1: włącz certyfikat SSL na hostingu
Bezpłatny certyfikat wydaje Let’s Encrypt, a wielu hostingodawców instaluje go i odnawia automatycznie. Sposób zależy od firmy, dlatego poniżej zebraliśmy, co mówią strony pomocy trzech popularnych polskich hostingów (odczyt 21 października 2026 roku):
- cyber_Folks: według strony pomocy warunki zależą od panelu. W server_Panel i cyber_Admin certyfikat Let’s Encrypt jest bezpłatny i odnawia się automatycznie. W DirectAdmin włącza się go w zakładce Bezpieczeństwo > Certyfikaty SSL, a automatyczne odnawianie wymaga dodatku auto_Keeper.
- home.pl: pomoc z 30 stycznia 2025 roku podaje, że zewnętrzny certyfikat, w tym Let’s Encrypt, instaluje administrator home.pl w ramach płatnych usług IT. Certyfikat kupiony w home.pl instaluje się bezpłatnie w Panelu klienta.
- nazwa.pl: według pomocy certyfikat zamówiony w tym samym Panelu Klienta instaluje się automatycznie, jeśli domena kieruje na serwer CloudHosting i jest dodana do jego panelu.
Certyfikat Let’s Encrypt jest dziś ważny 90 dni, a od 10 lutego 2027 roku będzie ważny 64 dni, o czym pisaliśmy w tekście o krótszych certyfikatach Let’s Encrypt. Przy ręcznej instalacji trzeba więc pilnować odnowień. Jeśli nie wiesz, gdzie stoi twoja strona i kto prowadzi domenę, zacznij od poradnika czym różni się domena od hostingu.
Krok 2: przekierowanie z HTTP na HTTPS
Przekierowanie ustawiasz dopiero wtedy, gdy certyfikat działa. Sprawdzisz to, wpisując ręcznie https:// przed adresem strony. Według pomocy cyber_Folks przełącznik w panelu cyber_Admin ustawia przekierowanie tymczasowe 302. Do trwałego 301, zalecanego dla stron z ruchem z Google, służy plik .htaccess w katalogu strony. Reguła z tej strony pomocy, wklejana na początku pliku:
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
Jeśli w pliku jest już linia RewriteEngine On, nie dodawaj jej drugi raz. Nie włączaj też jednocześnie przełącznika w panelu i reguły w .htaccess, bo cyber_Folks wymienia to jako przyczynę pętli przekierowań. Po zapisaniu wpisz w przeglądarce adres z http:// i sprawdź, czy kończysz na https://. Przy WordPressie cyber_Folks odsyła do osobnej instrukcji, bo adres strony trzeba zmienić także w samej aplikacji.
Krok 3: popraw mieszaną zawartość
Mieszana zawartość to strona otwarta przez HTTPS, która pobiera obrazki, skrypty albo inne pliki po HTTP. Według dokumentacji MDN przeglądarki same podnoszą do HTTPS obrazy, wideo i dźwięk, a pozostałe zasoby, w tym skrypty, blokują. Skutek widać od razu: rozjechany wygląd, niedziałający formularz albo pusta ramka po mapie.
MDN radzi podawać wszystkie zasoby własnej domeny przez HTTPS i zamienić odnośniki http:// na https:// albo na względne. Potem warto przejść po stronie z otwartą konsolą deweloperską (F12). Przeglądarka wypisuje tam ostrzeżenia o mieszanej zawartości. Przy okazji wizyty w panelu hostingu warto sprawdzić też wersję PHP, bo 21 października wyszły poprawki krytycznych luk w PHP.
FAQ
Czy Chrome zablokuje moją stronę, jeśli nie ma HTTPS?
Nie. Chrome pokaże nowemu gościowi pytanie o zgodę, a po kliknięciu otworzy stronę normalnie. Część osób zrezygnuje jednak na tym etapie, a strona bez HTTPS wygląda w oczach klienta na porzuconą.
Czy panel routera pod adresem 192.168.0.1 też pokaże ostrzeżenie?
Domyślnie nie. Google wyłączył ostrzeżenia dla lokalnych adresów IP i nazw jednoczłonowych, bo nie da się dla nich uzyskać publicznie zaufanego certyfikatu. Ostrzeżenie pojawi się tylko wtedy, gdy ktoś sam włączy wariant “Ostrzegaj przed niebezpiecznymi witrynami publicznymi i prywatnymi”.
{ strony www }Strona firmowa, która zbiera zapytania od klientów
Projektujemy strony dla firm na WordPressie: szybkie, wygodne na telefonie i przygotowane pod Google. Pomożemy też napisać treści, które jasno tłumaczą, co sprzedajesz.
Podsumowanie
Google ogłosił 21 października 2026 roku, że Chrome domyślnie u wszystkich pyta o zgodę przed otwarciem publicznej strony bez HTTPS. Pytanie pojawia się przy pierwszej wizycie i wraca po co najmniej dwóch tygodniach przerwy. Nie dotyczy lokalnych adresów IP, nazw jednoczłonowych ani stron z działającym certyfikatem. Strona nie jest blokowana, ale nowy gość zobaczy ostrzeżenie, zanim zobaczy treść. Użytkownik nie powinien wpisywać na takiej stronie haseł ani danych karty. Właściciel strony powinien włączyć bezpłatny certyfikat Let’s Encrypt albo kupiony u hostingodawcy. Potem ustawia trwałe przekierowanie 301 z HTTP na HTTPS i poprawia zasoby, które nadal ładują się po HTTP.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
