Разработчики Chrome внедряют принудительное открытие сайтов через HTTPS

Один из членов команды разработки Google Chrome, Эмили Старк, сообщила через Твиттер, что в бета-сборку Chrome Canary, а также в Dev-версию браузера будет добавлен экспериментальный флаг «omnibox-default-typed-navigations-to-https».

Для указанных сборок флаг «omnibox-default-typed-navigations-to-https» будет включен по умолчанию. Также новая функция будет добавлена в выпуск 89, релиз которого намечен на завтра, 02.03.2021.

Часть пользователей версии 89 получат флаг «omnibox-default-typed-navigations-to-https» включенным по умолчанию, в рамках тестирования новой функции. Если испытания пройдут успешно, новый флаг использования HTTPS вместо HTTP, будет включен по умолчанию для всех пользователей начиная с версии 90.

Подобные изменения укладываются в парадигму политики повышения безопасности соединений при посещении веб-ресурсов и сайтов пользователями браузера. Сейчас подключение происходит через HTTP с автоматическим перенаправлением на HTTPS, если таковое подключение поддерживается сайтом.

Принудительное подключение сразу по HTTPS вместо незащищенных запросов по HTTP с последующим перенаправлением на шифрованное соединение, позволит повысить безопасность пользователей в сети. Использование HTTP считается сейчас архитектурным архаизмом, из-за того, что адресная строка браузеров до сих пор трансформирует вводимый текст в формат «http://web-site» вместо того, чтобы обращаться сразу по HTTPS.

Команда Chrome и инженеры по безопасности Google не являются в этом вопросе первопроходцами. В 83 сборке Firefox был включен специальный режим «HTTPS Only», который также отсекает в цепочке «ввод адреса-соединение-переход на сайт» незащищенный HTTP-запрос. В Firefox, если сайт поддерживает только HTTP, по истечению таймаута подключения по HTTPS пользователю возвращалось окно с ошибкой и предупреждением о небезопасности посещения указанной страницы.