Sito non sicuro Chrome: perché adesso l'avviso compare anche sul tuo? Il certificato sulla home non basta

Dal 22 settembre 2026, con Chrome 154, il browser chiede il permesso prima di aprire qualsiasi sito pubblico che risponde solo in HTTP. Non è più un'opzione nascosta nelle impostazioni: è il comportamento di default per tutti. E la telefonata che arriva è sempre la stessa: «Chrome dice che il sito è pericoloso, ma il certificato lo abbiamo pagato».

La risposta diretta: il certificato sulla home non c'entra quasi mai. Chrome prova prima HTTPS e, se l'indirizzo che la persona ha aperto risponde in HTTPS, non mostra niente. L'avviso compare quando quell'indirizzo in HTTPS non risponde, o risponde con un certificato sbagliato: il sottodominio di una promozione finita, il dominio senza www che nessuno ha mai configurato, la landing di una fiera di tre anni fa. Sono nomi che tu non apri da anni, e che però stanno ancora stampati, linkati e indicizzati.

Cosa fa Chrome 154 quando apri un indirizzo http

Prova HTTPS, e solo se fallisce torna a HTTP e ti chiede se vuoi entrare lo stesso. La funzione nelle impostazioni si chiama «Always Use Secure Connections», e Google l'ha annunciata a ottobre 2025 con un anno di anticipo: da aprile 2026 era attiva per chi usa la Navigazione sicura avanzata, da Chrome 154 è attiva per tutti. Un amministratore di rete può governarla con una policy aziendale, ma sui computer delle persone normali resta accesa.

L'avviso occupa tutta la pagina. Dice che il sito non supporta una connessione sicura e che qualcuno potrebbe leggere o modificare le informazioni scambiate. Si può proseguire comunque, con un pulsante poco in vista. È una cosa diversa dall'etichetta «Non sicuro» nella barra degli indirizzi, che c'era da anni e che nessuno leggeva: questo è un muro prima della pagina.

Due attenuanti, che sono anche la ragione per cui tu potresti non vederlo mai. Gli indirizzi privati e le reti locali sono esclusi. E se una persona visita un sito con regolarità, Chrome smette di avvisarla su quel sito. Quindi l'avviso non lo vede chi il sito lo apre ogni giorno. Lo vede chi arriva per la prima volta, cioè esattamente chi volevi convincere.

Il certificato sulla home non basta

Un certificato copre i nomi che ci sono scritti dentro, non «il sito». Se è emesso per www.tuodominio.it e qualcuno apre tuodominio.it senza www, Chrome prova HTTPS su quel nome, trova un certificato che non corrisponde, torna a HTTP e mostra l'avviso. Vale per promo.tuodominio.it, per catalogo.tuodominio.it, per il .com comprato per non farselo soffiare e parcheggiato su un server qualunque.

Quando riprendo in mano un sito che ha qualche anno, la zona DNS è la prima cosa che guardo. Ci trovo quasi sempre record che puntano a cose di cui nessuno ricorda più l'esistenza: una landing dismessa, un ambiente di test, un vecchio gestionale. Ogni record è un nome che può finire nell'avviso.

Il caso più sfuggente è il cambio di hosting. Il sito nuovo ha il suo certificato, tutto a posto. Ma il vecchio server è ancora acceso, risponde sul vecchio sottodominio con un certificato scaduto, e qualche link lo raggiunge ancora.

Il link http non è il problema, il nome sì

Un http://www.tuodominio.it stampato su un catalogo funziona benissimo: Chrome lo porta in HTTPS da solo, il server risponde, nessuno vede niente. Il problema è il link verso un nome che in HTTPS non esiste. E quei link stanno nei posti che non si aggiornano mai:

• i QR code su cataloghi, etichette e vetrofanie, che puntano all'indirizzo che era giusto il giorno della stampa;
• le firme email di tutta l'azienda, copiate da un modello di anni fa;
• i backlink da directory, portali di categoria e articoli di giornale, che nessuno correggerà per te;
• i PDF di listini e schede tecniche con i link dentro;
• la scheda Google Business Profile e i profili social, dove il sito è stato inserito una volta e mai più toccato;
• i vecchi redirect: una landing dismessa che manda a un altro indirizzo ancora in http.

Come controllare in mezz'ora

Il lavoro è un elenco e un test per ogni voce. L'elenco dei nomi lo ricavi da tre posti: la zona DNS del dominio, i nomi scritti nel certificato attuale e il report di Analytics filtrato per nome host, che ti dice da quali indirizzi la gente entra davvero.

Poi, per ogni nome, due richieste dal terminale:

curl -I https://promo.tuodominio.it
curl -I http://promo.tuodominio.it

La prima deve rispondere con un codice 200 o con un redirect, senza errori di certificato. La seconda deve rispondere con un redirect verso la stessa pagina in https. Se la prima dà errore, quel nome finisce nell'avviso di Chrome. Se la seconda risponde 200 e serve la pagina in chiaro, il server non ha mai forzato HTTPS e va sistemato.

Le soluzioni sono tre, in ordine di preferenza. Un certificato che copra tutti i nomi in uso, wildcard o con i nomi elencati uno per uno. Un redirect permanente dai nomi vecchi al sito attuale, così i link stampati continuano a funzionare. Oppure cancellare dal DNS i nomi che non servono più, che a quel punto danno un errore di connessione banale e non l'avviso di pericolo.

Ultima cosa: prova in Chrome da una finestra ospite, non dal tuo profilo. Il tuo profilo ha aperto il sito mille volte e Chrome non ti avviserà. L'ospite è il cliente nuovo.

Cosa rispondere al cliente che chiama

Che Chrome non sta dicendo che il sito è pericoloso. Sta dicendo che quell'indirizzo specifico non è cifrato, e che su un Wi-Fi pubblico qualcuno in mezzo potrebbe leggere o cambiare quello che passa. Il che, per inciso, è vero: non è un allarmismo di Google.

Le domande da fargli sono due: quale indirizzo ha aperto, e da dove ci è arrivato. Quasi sempre è un QR, una firma email o un link su un portale. Trovato il nome, la sistemazione è un redirect o un certificato, e si chiude in giornata.

Se invece l'avviso compare sulla home, il problema è più serio e più semplice insieme: il sito non ha un certificato valido, oppure il server non forza HTTPS. In entrambi i casi è il primo intervento da fare, prima di qualunque altra cosa sul sito.

Un cambio giusto, arrivato tardi

Secondo me Google ha fatto bene, e ci ha messo troppo. Il certificato gratuito esiste da più di dieci anni, la quasi totalità delle pagine che Chrome apre è già in HTTPS, e quello che restava fuori erano i nomi dimenticati di cui parlo sopra. Un avviso a tutta pagina è l'unico modo per farli emergere, perché nessuno li cerca di sua iniziativa.

Per chi ha un sito la conseguenza pratica è una sola: chiedi a chi te lo tiene l'elenco dei nomi pubblici del dominio e il risultato del test su ciascuno. Non è un progetto, è mezz'ora di manutenzione. Ma è la mezz'ora che decide se il primo contatto con un cliente nuovo è la tua pagina o un cartello che gli dice di tornare indietro.