Chrome varnar för HTTP, så undviker du att företagets webbplats tappar besökare

Vad innebär Chromes nya HTTP-varning?

Chrome har länge kunnat visa att en anslutning inte är säker. Den nya förändringen innebär att webbläsaren ingriper tidigare. I stället för att enbart informera om risken när anslutningen redan har gjorts ber Chrome användaren om tillåtelse innan den osäkra HTTP-anslutningen sker.

Skillnaden är viktig, en diskret markering kan vara lätt att missa. En fråga som kräver ett aktivt beslut blir betydligt svårare att ignorera. Google lyfter också fram ett problem med den tidigare modellen: kortvariga HTTP-anslutningar, exempelvis vid omdirigeringar, kan passera utan att webbläsaren hinner visa någon tydlig varning. Trots att anslutningen bara används ett kort ögonblick kan information exponeras. Den nya funktionen ska ge användaren möjlighet att stoppa anslutningen innan det händer.
För dig som driver företag handlar förändringen därför om mer än teknik. Den väcker också en praktisk fråga: möter dina kunder en smidig väg till webbplatsen, eller behöver de först godkänna en säkerhetsrisk?

Varför är HTTP en risk?

HTTP och HTTPS används för kommunikationen mellan webbläsaren och webbplatsen. Den avgörande skillnaden i det här sammanhanget är att HTTP saknar det skydd mot nätverksangrepp som HTTPS ger. Google beskriver hur oskyddad HTTP-trafik kan ge angripare möjlighet att avlyssna kommunikationen eller lägga in skadligt innehåll i besökarens webbupplevelse.

Det betyder inte att en webbplats med HTTP automatiskt innehåller skadlig kod. Problemet är att anslutningen inte ger det skydd som besökaren behöver. Även om innehållet på företagets server är korrekt kan oskyddad trafik skapa en möjlighet för någon annan att påverka det som når användaren. HTTPS är samtidigt inte en garanti för att ett företags erbjudande är seriöst eller att allt innehåll på en webbplats är ofarligt. Googles förändring gäller skyddet av själva anslutningen. Den ska inte förväxlas med en fullständig kvalitetskontroll av webbplatsen.

Vad kan förändringen betyda för ditt företag?

När en webbläsare ber besökaren att godkänna en osäker anslutning uppstår ett extra beslut innan besöket kan fortsätta. Din besökare behöver då fundera på säkerhet i stället för att läsa om dina tjänster, hitta kontaktuppgifter eller skicka en förfrågan. Det går inte att utifrån Googles besked säga hur många förfrågningar en viss webbplats skulle förlora. Däremot är det rimligt att se varningen som en möjlig tröskel i kundresan. Ditt företagets mål bör vara att besökaren inte ska behöva göra den bedömningen alls.

Se därför förändringen som ett bra tillfälle att granska hela vägen till webbplatsen:

• Vilka webbadresser använder ni i er marknadsföring?
• Vart leder länkarna i era nyhetsbrev?
• Finns äldre domäner som skickar besökare vidare?
• Använder ni gamla kampanjadresser i tryckt material?
• Fungerar anslutningen även till mindre använda delar av webbplatsen?

Har webbplatsen redan HTTPS?

Har ditt företagets webbplats ett giltigt SSL-certifikat, fungerande HTTPS och en korrekt 301-omdirigering från HTTP till HTTPS? Då är er webbplats normalt redan rustad för förändringen i Chrome. En gammal HTTP-länk innebär alltså inte automatiskt att besökaren möts av en varning. Chrome försöker först ansluta via HTTPS. Varningen blir aktuell om webbläsaren inte kan använda en säker anslutning och behöver gå vidare med HTTP.

Kontrollera däremot att HTTPS fungerar även på äldre domäner och alternativa webbadresser som skickar besökaren vidare. Det räcker inte att enbart slutdestinationen har en säker anslutning.

Visar Google Chrome varningen vid varje besök?

Google uppger att Chrome ber användaren att godkänna HTTP första gången webbplatsen besöks. Efter ett godkännande visas inte varningen igen förrän användaren har varit borta från webbplatsen i minst två veckor. Det finns även undantag, som standard visas inte varningen för vissa adresser som inte kan få ett offentligt betrott HTTPS-certifikat. Google nämner bland annat lokala IP-adresser, exempelvis till en router, och interna namn som "intranet".

Undantagen är bra att känna till, men bör inte användas som utgångspunkt för företagets publika webbplats. Där är målet en säker anslutning utan att besökaren behöver godkänna HTTP.