Perché Chrome dice che il mio sito non è sicuro anche se ho HTTPS?

Chrome segnala le connessioni in HTTP, senza cifratura. Se il sito ha HTTPS, il caso più probabile è che una variante dell'indirizzo non abbia un certificato valido: il dominio senza www, un sottodominio come prenotazioni o area clienti, oppure una pagina HTTPS che reindirizza a una HTTP. Va controllata ogni variante da una finestra di Chrome che non ha mai visitato il sito.

Chrome blocca i siti in HTTP?

No. Chrome mostra un avviso che l'utente può superare scegliendo di proseguire, e dopo quel consenso non lo ripete finché l'utente non resta almeno due settimane senza visitare il sito. Il danno per un'impresa è la perdita di visitatori nuovi che tornano indietro, non l'oscuramento del sito.

Dove trovo il rapporto HTTPS in Search Console?

Il rapporto HTTPS è tra i rapporti di Search Console ed è disponibile solo per le proprietà di tipo Dominio o con prefisso URL in HTTPS. Mostra quanti URL indicizzati sono in HTTP e in HTTPS e il motivo dei problemi, per esempio certificato non valido o sitemap che punta a HTTP. È un campione, non un elenco completo.

HTTPS migliora il posizionamento su Google?

Non direttamente secondo la documentazione attuale: oltre ai Core Web Vitals, gli altri aspetti dell'esperienza sulla pagina, compreso servire le pagine in modo sicuro, non aiutano direttamente a salire nei risultati. HTTPS conta però per la scelta della versione canonica: Google preferisce HTTPS, ma certificati non validi o redirect verso HTTP gli fanno preferire la versione HTTP.

Passare da HTTP a HTTPS fa perdere posizioni?

Per Google è un trasloco con cambio di URL: il posizionamento può oscillare e possono servire settimane o più perché compaiano i nuovi indirizzi. Servono redirect 301 da ogni URL HTTP al corrispondente HTTPS, mantenuti di solito per almeno un anno, senza usare lo strumento Cambio di indirizzo. Google indica che le oscillazioni sono temporanee.

Sito non sicuro su Chrome: cosa cambia e cosa fare

Se il tuo sito risulta non sicuro su Chrome, da questa settimana il problema è più serio di un'etichetta grigia nella barra degli indirizzi. Il 21 ottobre Google ha annunciato che Chrome chiede a tutti gli utenti il permesso prima di aprire una pagina in HTTP, cioè senza connessione cifrata: il visitatore vede una pagina di avviso prima ancora di vedere il tuo sito. Qui trovi chi viene colpito davvero (anche siti che credono di avere HTTPS), cosa cambia per la SEO e una verifica divisa tra titolare e fornitore.

La risposta breve

Chrome segnala un sito come non sicuro quando la connessione è in HTTP. Da ottobre 2026, per tutti gli utenti, mostra un avviso prima di aprire la pagina se la versione HTTPS non funziona. Può succedere anche a siti con HTTPS, se il certificato SSL/TLS non copre www o un sottodominio. La soluzione: certificato valido su ogni indirizzo e redirect 301 verso HTTPS.

01Cosa ha annunciato Google per Chrome il 21 ottobre

Finora, per la maggior parte degli utenti, un sito in HTTP si apriva normalmente con l'etichetta "Non sicuro" accanto all'indirizzo. Nel post sul blog di Google del 21 ottobre si legge che il browser ora «explicitly asks users for permission before making an insecure HTTP connection», cioè chiede il permesso prima di collegarsi in modo non cifrato, per tutti gli utenti e per impostazione predefinita. L'avviso si può superare: l'utente può scegliere di proseguire. Google scrive che Chrome è il primo browser a fare questo passo.

Il cambiamento era annunciato da un anno. Nel post "HTTPS by default" dell'ottobre 2025 Google aveva fissato le tappe: da aprile 2026 (Chrome 147) l'impostazione attiva per chi usa la Protezione avanzata di Navigazione sicura, da ottobre 2026 (Chrome 154) per tutti. Le regole che contano per chi ha un sito:

Quando compareSolo se la versione HTTPS non funziona. Dal 2023 Chrome prova da solo HTTPS anche quando il link è scritto con http:// e, se fallisce (per esempio per un certificato non valido), ripiega su HTTP, come spiegato dal blog di Chromium. Ora, prima del ripiego, chiede il permesso.
Chi lo vedeChi visita il sito per la prima volta o di rado. Se un utente accetta di proseguire, Chrome non lo avvisa più per quel sito finché non passano almeno due settimane senza visite.
EsclusiGli indirizzi che non possono avere un certificato pubblico: reti interne con nomi come intranet/ e indirizzi IP locali come 192.168.0.1. Il gestionale in ufficio o la pagina del router non mostrano l'avviso.
Quanto è raroSecondo i primi dati di Google, quasi il 95% degli utenti di Chrome da computer non vede nessun avviso in una settimana e meno dell'1% ne vede tre o più; da mobile ancora meno.

Proprio perché l'avviso è raro, è ragionevole pensare che chi lo incontra lo prenda come un segnale che il sito ha qualcosa che non va. E decide prima di aver visto il tuo logo, i tuoi lavori o il tuo numero di telefono.

02Il mio sito ha già HTTPS: perché dovrei preoccuparmi?

Perché "avere HTTPS" di solito significa che funziona l'indirizzo che il titolare apre tutti i giorni. L'avviso invece scatta su qualsiasi indirizzo in cui il passaggio a HTTPS fallisce. Google non elenca i casi, ma combinando i due meccanismi documentati (tentativo automatico di HTTPS, poi richiesta di permesso prima di ripiegare su HTTP) quelli tipici sono questi:

Solo HTTPIl sito non ha un certificato. È il caso evidente: ogni nuovo visitatore che usa Chrome e arriva da Google, da un annuncio, da un QR code o da un assistente IA vede l'avviso.
Variante scopertaIl certificato copre www.tuosito.it ma non tuosito.it, o il contrario. Chi digita l'indirizzo senza www, o scansiona un QR code che lo contiene, fa fallire il tentativo HTTPS e può finire sull'avviso, anche se poi il server lo reindirizzerebbe alla versione corretta.
Sottodomini dimenticatiIl sito principale è a posto, ma prenotazioni, area clienti, catalogo o vecchie landing vivono su sottodomini senza certificato, magari su una piattaforma diversa. Sono spesso le pagine dove l'utente deve lasciare dati.
Redirect verso HTTPUna pagina HTTPS che rimanda a una HTTP, per una regola vecchia nel server o nel CMS. Per l'utente significa avviso; per Google è un problema di canonical, come vediamo nella prossima sezione.

C'è poi un dettaglio che spiega perché molti titolari non se ne accorgono: tu visiti il tuo sito spesso, e se una volta hai cliccato "prosegui" Chrome non ti avvisa più. L'avviso lo vede il cliente nuovo.

03Sito non sicuro e SEO: cosa cambia davvero su Google

Due idee diffuse vanno corrette. La prima, in molte guide di hosting tra i primi risultati, è che HTTPS "fa salire in classifica": Google lo aveva annunciato come segnale di ranking nel 2014, ma la documentazione attuale sull'esperienza sulla pagina dice che i Core Web Vitals «are used by our ranking systems» e che, oltre a questi, gli altri aspetti dell'esperienza sulla pagina, tra cui rientra servire le pagine in modo sicuro, «don't directly help your website rank higher». La seconda, rilanciata da alcuni titoli, è che Chrome "bloccherà" i siti HTTP: l'avviso si supera con un clic, nessun sito viene oscurato. HTTPS conta però in due punti precisi.

Quale versione indicizza Google. Quando esistono una versione HTTP e una HTTPS della stessa pagina, Google ne sceglie una come canonica, cioè quella da mostrare nei risultati. La guida sui duplicati dice che Google preferisce HTTPS, ma che certificati non validi e redirect da HTTPS a HTTP gli fanno «prefer HTTP very strongly», e che nemmeno HSTS (l'intestazione che obbliga il browser a usare sempre HTTPS) può ribaltare quella preferenza. Tradotto: un sito con un certificato rotto o un redirect sbagliato rischia di avere nei risultati proprio gli indirizzi HTTP, cioè quelli che ora mostrano l'avviso.

Cosa succede dopo il clic. L'utente clicca il tuo risultato, Google registra il clic, Chrome mostra l'avviso. Se l'utente torna indietro, la tua pagina non si è mai caricata, quindi il codice di Google Analytics non è mai partito. È un'ipotesi, non un dato misurato: ci aspettiamo che su questi siti cresca lo scarto tra i clic in Search Console e le sessioni da Google organico in Analytics. Conta il cambiamento dello scarto dopo il 21 ottobre, non il suo valore assoluto, che dipende anche dal consenso ai cookie (ne parliamo nell'articolo sul traffico di ChatGPT che sparisce da Google Analytics).

04Come verificare se il tuo sito mostra l'avviso: la procedura

I primi due passi li fa il titolare; gli altri richiedono accesso a hosting, DNS o CMS e sono lavoro del fornitore.

1 · TitolareProva come un cliente nuovo. Apri una finestra Ospite di Chrome sul computer (su Android, una scheda in incognito), che non ha mai visitato il sito. Nelle impostazioni cerca "connessioni sicure" e verifica che l'opzione sia attiva: Google raccomanda a sviluppatori e IT di attivarla subito. Poi prova tuosito.it, www.tuosito.it, https://tuosito.it, https://www.tuosito.it e ogni sottodominio in uso (prenotazioni, shop, area clienti).
2 · TitolareFai l'elenco degli indirizzi che stanno fuori dal sito: scheda Google Business Profile, social, firma email, QR code e materiale stampato. Annota come è scritto l'indirizzo (con o senza www) e passalo al fornitore: sono le varianti che il certificato deve coprire.
3 · FornitoreCertificato SSL/TLS su ogni nome, con rinnovo automatico. Deve coprire il dominio con e senza www e ogni sottodominio in uso. Se il certificato scade, chi apre l'indirizzo https vede un errore di certificato e chi arriva da un link http vede l'avviso.
4 · FornitoreRedirect 301 verso un solo indirizzo HTTPS, in un passaggio. Da terminale, curl -I http://tuosito.it/ deve rispondere 301 con Location: https://www.tuosito.it/ (o la tua versione canonica), e lo stesso per le altre varianti; curl -I https://tuosito.it/ deve rispondere senza errori di certificato: se curl segnala un errore SSL, quella variante può far scattare l'avviso. Nessuna regola deve mandare da HTTPS a HTTP.
5 · FornitorePulisci i riferimenti interni. Link interni, tag canonical, sitemap, hreflang, immagini e script devono puntare a indirizzi HTTPS. Una sitemap che elenca URL HTTP è una delle cause che Search Console segnala esplicitamente.
6 · Titolare con il fornitoreApri il rapporto HTTPS di Search Console (la proprietà deve essere intestata a te, non solo al fornitore). Il rapporto HTTPS conta gli URL indicizzati in HTTP e in HTTPS e indica il motivo: certificato non valido, HTTPS che reindirizza a HTTP, sitemap che punta a HTTP, canonical che indica la versione HTTP, versione HTTPS bloccata da robots.txt. Funziona solo con proprietà di tipo Dominio o con prefisso URL in HTTPS e mostra un campione, non l'elenco completo.
7 · FornitoreHSTS per ultimo. Google lo elenca tra le azioni per far preferire HTTPS. Noi lo attiviamo solo dopo che i passi 3-6 sono a posto, partendo da una durata breve: una volta che il browser lo ha memorizzato, un errore di certificato non si aggira più con un clic.

Se il sito è ancora tutto in HTTP, passare a HTTPS è per Google un trasloco con cambio di URL. La guida di Google ai traslochi chiede redirect permanenti da mantenere di solito per almeno un anno e avverte che il posizionamento può oscillare temporaneamente e che possono servire settimane o più perché compaiano i nuovi URL. La pagina di aiuto del Cambio di indirizzo dice di seguire la procedura per i traslochi con cambio di URL, ma di non usare quello strumento per il passaggio da http a https. Se dopo il passaggio vedi un calo, il nostro articolo sul calo di traffico dopo la migrazione del sito spiega come leggere i tempi.

Tre scenari tipici. Un idraulico di Albino con un sito del 2015 mai aggiornato, tutto in HTTP: chi lo trova su Google Maps e apre il sito con Chrome per la prima volta vede l'avviso; serve il trasloco completo, che su poche pagine è un lavoro contenuto. Uno studio tecnico di Dalmine con https://www perfetto e il certificato che non copre il dominio senza www, proprio quello stampato sul furgone: basta estendere il certificato. Un'azienda manifatturiera della Val Seriana con il sito nuovo in HTTPS e il vecchio catalogo su un sottodominio HTTP linkato dalle schede prodotto: si sposta il catalogo o gli si dà un certificato.

05L'avviso di Chrome conta anche per AI Overview e ChatGPT?

L'avviso è una funzione del browser per le persone: non cambia direttamente come Googlebot o i crawler di OpenAI, Anthropic e Perplexity leggono il sito. Cambia cosa succede quando una persona clicca una citazione.

Chi arriva da una risposta di ChatGPT, Perplexity o AI Mode è spesso qualcuno che non conosceva il sito, ed è proprio chi riceve l'avviso, almeno quando il link si apre in Chrome. Nelle app mobili i link si aprono spesso nel browser interno dell'app, dove è probabile che l'avviso di Chrome non si applichi. Sono ipotesi ragionate: nessuna piattaforma pubblica la quota di visitatori nuovi che porta. Ma una citazione che porta a un avviso rischia di diventare un clic perso.

Per AI Overview e AI Mode vale anche il discorso del canonical: Google scrive che per comparire come link nelle funzioni IA una pagina deve essere indicizzata e idonea allo snippet, come raccontiamo nell'articolo su come comparire nelle AI Overview. Se per un certificato rotto Google ha scelto come canonica la versione HTTP, è probabile che anche lì il link porti a quella.

06Cosa ne pensiamo

Il cambiamento è giusto, e un anno di preavviso era sufficiente. Nel nostro lavoro di SEO tecnico pensiamo che il rischio per una PMI non sia il ranking ma la prima impressione persa senza saperlo, e che un controllo fatto solo sulla home con www non basti. Per questo consigliamo di inserire la prova di tutte le varianti del dominio e dei sottodomini nel controllo annuale del sito, insieme al rinnovo del dominio, e di ripeterla quando cambiano hosting, CDN o piattaforma.

HTTPS dice che la connessione è cifrata, non che il sito è affidabile: anche i siti truffa usano HTTPS, e chi lo vende come "sito sicuro" semplifica troppo. Se il tuo sito vive di clienti locali, controlla con particolare attenzione l'indirizzo nella scheda Google: è uno dei punti da cui arriva chi non ti conosce ancora, come spieghiamo nella pagina sulla SEO locale.

→In sintesi

Da ottobre 2026 Chrome chiede il permesso prima di aprire qualsiasi indirizzo pubblico in cui HTTPS non funziona, e lo chiede soprattutto ai visitatori nuovi. Fai coprire dal certificato ogni variante del dominio e ogni sottodominio, con redirect 301 verso un solo indirizzo HTTPS, e controlla il rapporto HTTPS di Search Console. Google non ha collegato l'avviso al posizionamento: il rischio concreto sono i clienti nuovi che tornano indietro.

FAQDomande frequenti sul sito non sicuro in Chrome

→Perché Chrome dice che il mio sito non è sicuro anche se ho HTTPS?

Chrome segnala le connessioni in HTTP, senza cifratura. Se il sito ha HTTPS, il caso più probabile è che una variante dell'indirizzo non abbia un certificato valido: il dominio senza www, un sottodominio come prenotazioni o area clienti, oppure una pagina HTTPS che reindirizza a una HTTP. Va controllata ogni variante da una finestra di Chrome che non ha mai visitato il sito.
→Chrome blocca i siti in HTTP?

No. Chrome mostra un avviso che l'utente può superare scegliendo di proseguire, e dopo quel consenso non lo ripete finché l'utente non resta almeno due settimane senza visitare il sito. Il danno per un'impresa è la perdita di visitatori nuovi che tornano indietro, non l'oscuramento del sito.
→Dove trovo il rapporto HTTPS in Search Console?

Il rapporto HTTPS è tra i rapporti di Search Console ed è disponibile solo per le proprietà di tipo Dominio o con prefisso URL in HTTPS. Mostra quanti URL indicizzati sono in HTTP e in HTTPS e il motivo dei problemi, per esempio certificato non valido o sitemap che punta a HTTP. È un campione, non un elenco completo.
→HTTPS migliora il posizionamento su Google?

Non direttamente secondo la documentazione attuale: oltre ai Core Web Vitals, gli altri aspetti dell'esperienza sulla pagina, compreso servire le pagine in modo sicuro, non aiutano direttamente a salire nei risultati. HTTPS conta però per la scelta della versione canonica: Google preferisce HTTPS, ma certificati non validi o redirect verso HTTP gli fanno preferire la versione HTTP.
→Passare da HTTP a HTTPS fa perdere posizioni?

Per Google è un trasloco con cambio di URL: il posizionamento può oscillare e possono servire settimane o più perché compaiano i nuovi indirizzi. Servono redirect 301 da ogni URL HTTP al corrispondente HTTPS, mantenuti di solito per almeno un anno, senza usare lo strumento Cambio di indirizzo. Google indica che le oscillazioni sono temporanee.

Sito non sicuro su Chrome: ora l'avviso arriva prima della tua pagina