El 21 de octubre de 2026, el equipo de Seguridad Web y Redes de Chrome publicó en el blog de Google que el navegador ya pide permiso al usuario antes de abrir una conexión HTTP insegura. La función se llama «Usar siempre conexiones seguras» y, según ese mismo texto, ha pasado de estar activa solo para quien tenía la Protección Mejorada de Navegación Segura a estarlo por defecto para todo el mundo. En la práctica, el aviso de web no segura en Chrome ya le sale a cualquiera que entre en tu sitio.
Si alguna parte de tu web viaja por HTTP, Chrome corta la visita con una pantalla de permiso antes de que el cliente vea tu página. Cada clic que pagas en Google Ads y termina ahí está cobrado y perdido. Y quien te buscaba por su cuenta vuelve a los resultados y entra en el siguiente.
Si prefieres que lo revisemos por ti, podemos auditar tu sitio y decirte en qué URL salta el aviso: así trabajamos el diseño web en Barcelona.
Qué ha confirmado Google sobre el aviso de web no segura en Chrome
Google anunció el cambio el 28 de octubre de 2025 en su artículo «HTTPS by default». Ahí fijó tres fases: una prueba con un porcentaje pequeño de usuarios en Chrome 141, la activación en abril de 2026 con Chrome 147 para quien usa la Protección Mejorada de Navegación Segura, y el salto a valor por defecto para todos en octubre de 2026 con Chrome 154.
El texto del 21 de octubre de 2026 confirma que esa última fase ya está en marcha y aporta dos cifras: casi el 95 % de los usuarios de escritorio no ve ningún aviso de HTTP en una semana y menos del 1 % ve tres o más. En móvil la tasa es todavía menor. Leído al revés, en torno a un 5 % de las sesiones de escritorio sí se topa con un aviso.
La guía de adopción de Chromium para dueños de webs añade el detalle que decide cuánto duele: Chrome recuerda el permiso 15 días y cada visita renueva el plazo. Un cliente que entra cada semana puede ver el aviso una sola vez. Uno nuevo lo ve siempre.
Esa misma guía dice qué queda fuera. No hay aviso en localhost, en direcciones IP locales ni en nombres de host de una sola etiqueta como intranet/. Tampoco en sitios con HSTS, donde Chrome no baja a HTTP. Si el usuario escribe a mano una dirección https:// y falla, ve un error de red normal y Chrome no prueba HTTP. Los avisos de certificado caducado o inválido que ya existían siguen igual.
Lo que no está publicado: cuántos usuarios en España ven el aviso. Google da porcentajes globales y no desglosa por país, así que no puedo confirmarlo.
Qué cambia según tu tipo de negocio
Un fabricante o una empresa de servicios B2B con una web de hace años es el caso más expuesto. Suele arrastrar subdominios viejos, catálogos en PDF servidos desde otro host y redirecciones que pasan por HTTP antes de llegar al destino. La guía de Chromium advierte de que cada salto inseguro de una redirección puede lanzar su propio aviso, así que una cadena mal montada multiplica las pantallas. Y el aviso aparece justo cuando un comité de compras te está comparando con dos competidores. Es una de las primeras cosas que miramos al entrar en un proyecto de marketing industrial y B2B.
Un restaurante o un negocio local tiene un problema distinto. La web principal suele estar en HTTPS, pero la carta en PDF, el formulario de reservas o el mapa a veces viven en un dominio aparte que nadie ha tocado desde que se montó. Si tu ficha de Google o tu enlace de Instagram apuntan a una dirección http://, la pantalla de web no segura en Chrome se cruza con la persona que ya había decidido reservar.
Una tienda online casi siempre tiene el proceso de pago en HTTPS, porque la pasarela lo exige. El punto débil está antes: el dominio sin www, un blog en un subdominio o una landing antigua de una campaña que sigue indexada. Cualquiera de esas puertas de entrada puede mostrar la pantalla de permiso aunque el checkout esté impecable.
Cómo comprobar si tu web no es segura en Chrome
La guía de Chromium describe una comprobación que puedes hacer sin ayuda y en una tarde. Estos son los pasos completos.
- Abre
chrome://settings/securityen tu Chrome y activa «Usar siempre conexiones seguras» para sitios públicos. Es la forma que Google recomienda para reproducir el aviso antes de que lo vea un cliente. - Navega por tu web con esa opción puesta: portada, páginas de servicio, blog, formulario de contacto, carta o catálogo, y las landings de tus campañas. Anota cada URL en la que aparezca la pantalla de permiso.
- Escribe a mano
http://tudominio.comsin www y comprueba que termina en una dirección https://. El ejemplo de la propia guía es un dominio sin www que redirige a la versión con www por HTTP: ahí el dominio raíz también necesita HTTPS. - Abre las herramientas de desarrollo de Chrome, pestaña Red, y repasa cada salto de la redirección. La guía pide revisar todos los saltos, no solo la página final.
- Si tu dominio llega a tu web mediante un servicio de redirección o un CNAME de un tercero, pregunta a ese proveedor si da HTTPS en su salto. La guía dice que muchos pueden conseguir el certificado por ti.
- Para las URL que fallen, consigue certificado. La guía apunta a servidores con ACME (Apache, Nginx, Caddy), a autoridades de certificación gratuitas y al propio hosting, que en muchos casos solo tiene que activar HTTPS.
- Configura TLS con el generador de configuración SSL de Mozilla, que es la herramienta que la guía recomienda para los ejemplos de configuración.
- Cierra con una redirección 301 de HTTP a HTTPS y, cuando todo responda bien, activa HSTS. Según la guía, HSTS tiene prioridad sobre las subidas automáticas de Chrome y sobre el propio aviso.
Si tu web tarda en cargar o no te llegan contactos, el HTTPS es solo una de las piezas. Tenemos una guía aparte sobre velocidad de carga web con Core Web Vitals y otra sobre cómo mejorar la experiencia de usuario para convertir más.
Cuándo conviene que lo lleve un profesional
Hay señales que indican que esto se te va de las manos. Inviertes en anuncios y no has comprobado en qué URL aterrizan de verdad. Tu ficha de Google apunta a una dirección que empieza por http://. El dominio sin www no responde por HTTPS y nadie sabe quién gestiona el DNS. Tienes subdominios heredados de una web anterior que siguen en línea. El hosting es de un proveedor que ya no da soporte o que cobra aparte el certificado.
Qué cuesta hacerlo mal, con lo único que tiene fuente: según las cifras de Google del 21 de octubre, en torno a un 5 % de las sesiones de escritorio ve algún aviso de HTTP en una semana. No es una multa ni una penalización anunciada. El aviso de web no segura en Chrome es una pantalla colocada entre tu anuncio y tu formulario, y la ve antes el visitante nuevo que el cliente que ya te conoce. Una redirección mal encadenada puede además apilar varios avisos en una sola visita, como advierte la guía de Chromium.
El otro motivo para delegarlo es el orden de los arreglos. Cambiar certificados, redirecciones y HSTS en el orden equivocado deja la web inaccesible durante horas, y HSTS no se desactiva con un clic en el navegador del cliente.
Cómo lo trabajamos en Vandelay
Nuestro servicio de diseño web parte de cuatro cosas: arquitectura y contenidos pensados para SEO, optimización técnica desde el diseño, textos alineados con la intención de búsqueda e integración con las herramientas de analítica. Aplicado a este caso, el orden es este.
- Inventario de todo lo que responde en tu dominio: dominio raíz, www, subdominios, landings antiguas y archivos servidos desde otros hosts.
- Reproducción del aviso de web no segura en Chrome con ese ajuste activado y lista de las URL afectadas, ordenadas por el tráfico que reciben.
- Certificados y configuración TLS en cada host, empezando por las puertas de entrada que usan tus anuncios y tu ficha de Google.
- Limpieza de las cadenas de redirección para que ningún salto intermedio pase por HTTP.
- Redirección 301 definitiva, HSTS y comprobación en las herramientas de analítica de que las conversiones siguen registrándose donde deben.
Si lo que tienes es una web vieja y este aviso es solo el último recordatorio, el trabajo es un rediseño, no un parche. Puedes ver qué incluye en la página de diseño web y orientarte con nuestro artículo sobre cuánto cuesta una página web en 2026.
Preguntas frecuentes
No. Chrome no la bloquea: pide permiso al usuario antes de abrir la conexión y, si lo da, la visita continúa. Según la guía de adopción de Chromium, ese permiso se recuerda 15 días y cada visita renueva el plazo, así que el problema lo tienes sobre todo con quien entra por primera vez.
La guía de Chromium remite a autoridades de certificación gratuitas, a servidores compatibles con el protocolo ACME y al proveedor de hosting. No pide ningún tipo concreto de certificado de pago. Lo que importa es que lo emita una autoridad de confianza pública y que cubra todos los hosts por los que pasa la visita.
No. Como explicamos en la página de diseño web, nos encargamos de la estructura, el diseño, la configuración básica de SEO on-page y la parte técnica, y al publicar te podemos formar para que gestiones la web tú mismo. Los textos y las imágenes los sueles aportar tú y, si lo prefieres, los preparamos nosotros con un coste adicional.
Según nuestra página de diseño web, una landing page puede estar lista en 4 o 5 días, una web corporativa en unos 10 días y una tienda online en 4 a 8 semanas. Una revisión de HTTPS sobre una web que ya existe es bastante más rápida que eso.
Abre tu web ahora mismo con «Usar siempre conexiones seguras» activado y mira si te sale la pantalla. Si te sale en una sola URL, ya sabes por dónde empezar. Si no sabes cuántos hosts responden en tu dominio ni quién toca el DNS, te lo miramos nosotros: pide el diagnóstico gratuito de Vandelay, una llamada de 15 minutos en la que revisamos tu situación y te decimos qué hay que arreglar y en qué orden.
Más artículos sobre Diseño web.
Sobre el autor
Jehiel Ramos · CEO y consultor digital
Jehiel Ramos es CEO y consultor digital en Vandelay, la agencia de marketing digital que fundó en Barcelona en 2020. Con más de diez años de experiencia en marketing digital, dirige la estrategia de los clientes de la agencia en posicionamiento SEO y GEO (visibilidad de marca en Google y en asistentes como ChatGPT, Gemini y Perplexity), campañas de Google Ads y Meta Ads, diseño web orientado a conversión y automatización de marketing con inteligencia artificial, siempre con un enfoque de retorno medible y no de métricas de vanidad. Escribe en el blog de Vandelay sobre la evolución de la búsqueda, la publicidad digital y la IA aplicada al marketing, con datos verificados en fuentes primarias. Puedes contactar con él en vandelay@vandelay.es o a través de su perfil de LinkedIn.
Perfil de LinkedIn · Todos sus artículos · Cómo producimos el contenido