Chromeで「HTTPサイトにつなぐと警告」が標準に――Googleが設定変更：社内システムへの影響は？

Googleは、Webブラウザ「Chrome」で暗号化されていないHTTPサイトにアクセスする際、接続前に警告を表示する機能を全ユーザー向けに標準で有効化したと発表した。社内システムなどで使われるHTTPサイトではどうなっているのか。

[＠IT]

　Googleは2026年10月21日、Webブラウザ「Google Chrome」（以下、Chrome）で、暗号化されていないHTTP接続に対する警告を標準で有効化したと発表した。

　従来のChromeは、HTTPサイトに接続した後、アドレスバーなどに「保護されていない通信」と表示していた。今回の変更では全ユーザーに対し、HTTP接続が行われる前に警告を表示し、接続を続行するかどうかの判断を求めるようになっている。

　この機能は、Chromeの設定項目「常に安全な接続を使用する」（Always Use Secure Connections）によるもの。2026年初めには、セーフブラウジングの「保護強化機能」を利用するユーザー向けに有効化されていたが、それを全ユーザーに標準で適用するようになった。

なぜ「接続後の警告」では不十分？　社内システムへの影響は？

　HTTPSに対応していない古い社内システムや、ネットワーク機器の管理画面にアクセスする際にはどうなっているのか。

「保護されていない通信」という表示の3つの問題

　HTTP通信は暗号化されていないため、通信経路上の第三者に内容を盗み見られたり、改ざんされたりする危険性がある。Googleは、こうした通信がマルウェアの配布やフィッシング攻撃につながる可能性も指摘している。

　従来の「保護されていない通信」という表示には、主に3つの問題があったという。

　1つ目は、利用者が警告を見落とす可能性があることだ。2つ目は、リダイレクトなど短時間で終わるHTTP通信では、警告を表示する機会がないことだ。

　3つ目は、警告が表示される時点で、既にHTTP接続が行われていることだ。通信内容が第三者にさらされる可能性が生じた後では、利用者が接続を中止しても、その通信をなかったことにはできない。

　そこでGoogleは、HTTPサイトへの接続が発生する前に利用者の確認を求める方式へと変更した。

社内システムやルーターの管理画面も警告対象になる？

　企業のIT管理者にとって気になるのは、HTTPSに対応していない社内システムやネットワーク機器の管理画面への影響だろう。

　Googleによると、今回の変更では、全てのHTTP接続で警告が表示されるわけではない。

　例えば、「http://intranet/」のような単一ラベルのホスト名や、「http://192.168.0.1」のようなローカルIPアドレスへの接続では、標準で警告を表示しない。

　これらは、一般に公開された認証局から信頼されるHTTPS証明書を取得できない場合があり、家庭用Wi-Fiルーターなどの設定画面でも使われている。Googleは、こうした接続を改ざんするには通常、攻撃者が利用者と同じローカルネットワーク上にいる必要があり、相対的にリスクが低いと説明している。

　一方、通常のドメイン名を持つHTTPサイトは、社内向けであっても警告の対象になる可能性がある。

　利用者がHTTP接続を一度許可したサイトについては、アクセスが継続している限り、毎回警告が表示されるわけではない。Googleによると、そのサイトに少なくとも2週間アクセスしなかった場合に、再び警告が表示される仕組みだ。

Google「デスクトップ利用者の約95％は週に一度も警告を見ない」

　今回の変更に当たってGoogleが重視したのは、警告の表示頻度だ。

　HTTPサイトへのアクセスが多い環境で接続前の警告を標準化すれば、利用者が頻繁に警告を見ることになり、かえって警告を無視するようになる可能性がある。

　しかし、HTTPSの普及によって、こうした問題は小さくなっているという。

　Googleが初期展開のデータを分析したところ、デスクトップ版Chromeの利用者の約95％は、1週間に一度もHTTP接続の警告を見ていなかった。週に3回以上警告が表示された利用者は1％未満だった。モバイル版では警告の表示頻度がさらに低いという。

　Googleは、今回の変更を、ネットワーク上の攻撃者から利用者を標準で保護するための取り組みと位置付けている。

　企業のIT管理者にとっては、HTTPSに対応していない業務システムの有無や、HTTP接続前の警告が利用者の業務に与える影響を確認する機会となりそうだ。