Chrome Kini Memperingatkan Situs HTTP Secara Bawaan

Seorang calon pelanggan mengetik alamat toko onlinemu di Chrome. Alih-alih halaman depan, yang muncul adalah layar peringatan bahwa koneksi ke situs ini tidak aman, lengkap dengan tombol untuk kembali. Sebagian orang akan menekan "lanjutkan", sebagian lagi menutup tab dan mencari toko lain.

Itulah perubahan yang kini berlaku bawaan di Chrome. Per 11 November 2026, catatan rilis Chrome 154 di developer.chrome.com mencantumkan rilis stabil pada 22 September 2026 dan fitur "Ask before HTTP on by default": Chrome meminta konfirmasi pengguna secara bawaan saat terhubung ke situs lewat koneksi http yang tidak aman. Di pengaturan Chrome, fitur ini dikenal sebagai "Always Use Secure Connections".

Dari opsi tersembunyi menjadi bawaan

Pengaturan ini sebenarnya sudah lama ada, tapi harus dinyalakan sendiri. Blog keamanan Google menjelaskan peluncurannya bertahap. Chrome 141 menguji peringatan untuk situs publik pada sebagian kecil pengguna. Chrome 147, sekitar April 2026, menyalakannya untuk pengguna Enhanced Safe Browsing. Lalu Chrome 154 menjadikannya bawaan untuk semua pengguna.

Cara kerjanya begini. Saat kamu membuka alamat dengan http://, Chrome mencoba versi HTTPS lebih dulu. Bila situs itu mendukung HTTPS, pengguna langsung diarahkan ke sana tanpa melihat apa pun. Peringatan hanya muncul bila HTTPS tidak tersedia, dan pengguna masih bisa memilih untuk melanjutkan. Pengguna juga bisa mematikan pengaturan ini sendiri.

Google sengaja menjaga agar peringatan tidak terlalu sering. Menurut blognya, Chrome tidak terus-menerus memperingatkan situs yang rutin dikunjungi pengguna, dan hanya memberi peringatan untuk situs HTTP yang baru atau sudah lama tidak dikunjungi. Pada eksperimen Chrome 141, peringatan muncul jauh di bawah 3% dari seluruh navigasi.

Situs mana yang kena, mana yang tidak?

Perubahan bawaan ini hanya berlaku untuk situs publik. Google mengecualikan situs privat, seperti alamat IP lokal, nama host satu label, dan tautan pendek seperti intranet/. Alasannya, HTTP ke situs privat umumnya lebih kecil risikonya karena hanya penyerang di jaringan lokal yang bisa memanfaatkannya.

Untuk perusahaan yang mengelola browser karyawan, catatan rilis Chrome 154 menyebut administrator bisa mengubah perilaku ini lewat kebijakan HttpsOnlyMode. Ini berguna untuk aplikasi internal lama yang belum bisa dipindah ke HTTPS, meski solusi jangka panjangnya tetap memasang sertifikat.

Dampaknya bagi pemilik website

Kalau websitemu sudah memakai HTTPS dengan benar, hampir tidak ada yang berubah. Masalah muncul pada tiga kelompok.

Pertama, website yang memang belum punya sertifikat. Di 2026 ini makin jarang, tapi masih ditemukan pada situs lama, halaman kampanye yang dibuat terburu-buru, atau subdomain yang terlupakan. Penjelasan dasarnya ada di apa itu SSL dan kenapa website wajib HTTPS.

Kedua, website yang punya sertifikat tapi HTTPS-nya tidak berfungsi di semua alamat. Misalnya versi www aman tapi versi tanpa www tidak, atau sertifikat hanya mencakup domain utama sementara subdomain shop. tidak tercakup. Pengunjung yang masuk dari tautan lama bisa melihat peringatan.

Ketiga, tautan dan sumber daya yang masih ditulis dengan http://, misalnya di email marketing lama, kode QR di brosur, atau iklan yang belum diperbarui. Bila server tujuan mendukung HTTPS, Chrome akan mengalihkannya diam-diam. Bila tidak, pengunjung melihat peringatan.

Langkah yang perlu kamu cek minggu ini

Mulailah dengan membuka setiap variasi alamat websitemu: http://domain, http://www.domain, https://domain, dan https://www.domain. Keempatnya harus berakhir di satu alamat HTTPS tanpa galat. Bila versi HTTP tidak dialihkan, pasang pengalihan permanen. Di hosting Apache, caranya dijelaskan di redirect HTTP ke HTTPS lewat .htaccess.

Setelah itu, cek subdomain yang masih aktif: blog., shop., mail., atau halaman landing kampanye lama. Pastikan sertifikatnya mencakup semua nama itu dan perpanjangannya berjalan otomatis.

Langkah berikutnya, periksa halaman yang memuat gambar, skrip, atau formulir dari alamat http://. Konten campuran seperti ini bisa membuat ikon gembok hilang atau fitur tertentu diblokir browser. Cara menemukannya ada di mixed content setelah pasang SSL.

Terakhir, untuk website yang sudah stabil di HTTPS, pertimbangkan header HSTS agar browser selalu memakai HTTPS untuk domainmu, bahkan sebelum mencoba HTTP. Pertimbangan dan risikonya dibahas di HSTS preload.

Menguji dari sisi pengunjung

Cara paling sederhana untuk melihat apa yang dilihat pengunjung adalah membuka jendela penyamaran (incognito) di Chrome versi terbaru, lalu mengetik alamat websitemu lengkap dengan http:// di depannya. Jendela penyamaran tidak membawa riwayat kunjungan, sehingga kamu melihat perilaku untuk pengunjung baru. Bila alamat langsung berubah menjadi https:// dan halaman terbuka normal, situsmu aman dari peringatan ini.

Ulangi untuk halaman yang sering dibagikan: halaman produk, formulir pendaftaran, halaman pembayaran, dan tautan di bio media sosial. Jangan lupa tautan di kode QR yang tercetak di kemasan atau brosur, karena tautan itu tidak bisa diganti tanpa mencetak ulang. Bila tautan cetak masih memakai http://, pastikan server menerima alamat itu dan mengalihkannya ke HTTPS dengan benar.

Bila kamu mengelola banyak domain, buat daftar sederhana berisi domain, subdomain, tanggal kedaluwarsa sertifikat, dan status pengalihan HTTP. Daftar ini berguna bukan hanya untuk perubahan Chrome kali ini, tapi juga karena masa berlaku sertifikat publik terus diperpendek, sehingga pembaruan otomatis makin wajib.

Ringkasan

Chrome 154 menutup celah terakhir dalam perpindahan web ke HTTPS: pengguna kini diberi tahu sebelum membuka situs publik yang hanya tersedia lewat HTTP. Bagi website yang sudah rapi, perubahan ini tidak terasa. Bagi yang masih punya subdomain, tautan, atau halaman lama tanpa HTTPS, inilah saat yang tepat untuk membereskannya sebelum calon pelanggan yang menemukannya lebih dulu.