Chrome 156 e altre notizie web, 22 ottobre 2026

In breve: la settimana web che porta al 22 ottobre 2026 è dominata da Chrome: la versione 156 arriva in stable con 353 correzioni di sicurezza, il browser ora chiede il permesso a tutti prima di aprire una connessione HTTP non cifrata e Safe Browsing aggiunge avvisi contro le truffe ClickFix e un'analisi con Gemini lato server. WebKit blocca l'identity resolution, Cloudflare e Commerce.com attivano WebMCP su quasi 100.000 negozi, React Router 8.5 depreca le sue view transition e Astro e Vite escono con nuove patch.

Otto notizie su browser, API web e framework frontend dall'uscita del 15 ottobre, ognuna con la fonte ufficiale e cosa cambia nei siti che sviluppi. Le altre sezioni sono in Notizie tech, le cinque notizie principali nel numero di oggi, l'archivio di questa sezione è in Web e frontend e l'uscita precedente è Web e frontend del 15 ottobre. Chi deve spostare un sito Astro di piattaforma trova i passaggi nella guida per migrare da Cloudflare Pages a Workers.

Browser

Chrome 156 in stable con 353 correzioni di sicurezza

Fonte: Chrome Releases · 20 ottobre 2026

Chrome 156 (156.0.8078.47 su Linux) passa al canale stable. Secondo SecurityWeek corregge 353 vulnerabilità, di cui 6 critiche e 61 alte: 163 sono corruzioni di memoria, 125 use-after-free e 17 letture fuori dai limiti. Per 285 falle non viene pagata alcuna ricompensa perché trovate da Google, da un ricercatore di Anthropic assistito da Claude o da OpenAI Codex Security; Google non segnala falle sfruttate.

Perché conta: il numero di correzioni mostra quanto gli strumenti AI stiano accelerando la ricerca di bug nei browser. Chi distribuisce app basate su Chromium, come quelle Electron, deve seguire il ritmo degli aggiornamenti.

Chrome chiede il permesso a tutti prima di aprire un sito in HTTP

Fonte: Google Security Blog · 21 ottobre 2026

Dopo averla attivata a inizio anno per chi usa la protezione avanzata di Safe Browsing, Google estende a tutti gli utenti l'avviso che chiede il consenso prima di una connessione HTTP non cifrata. L'avviso compare la prima volta che si visita un sito e non si ripete finché non passano almeno due settimane senza visite; non appare per nomi a etichetta singola come intranet/ o per indirizzi IP locali come 192.168.0.1. Secondo i primi dati quasi il 95% degli utenti desktop non vede alcun avviso in una settimana.

Perché conta: i siti, gli endpoint e i redirect ancora in HTTP ora interrompono la navigazione con un avviso. È il momento di controllare link, redirect e risorse rimasti senza HTTPS, compresi quelli nei vecchi QR code e nelle email.

Safe Browsing: avvisi su due livelli, Gemini lato server e difese contro ClickFix

Fonte: Google Security Blog · 20 ottobre 2026

Per chi usa la protezione avanzata, Chrome distingue ora tra siti "sospetti", con un avviso dal design diverso, e siti "pericolosi", con il classico avviso rosso a pagina intera. Il rilevamento delle truffe con Gemini passa dal dispositivo a un modello lato server, che analizza il testo della pagina solo quando ci sono forti segnali di truffa e senza conservarlo. Chrome riconosce anche le pagine ClickFix, che convincono a incollare ed eseguire comandi che richiamano strumenti di sistema come PowerShell.

Perché conta: un sito legittimo con pattern simili a quelli delle truffe, come finti avvisi di aggiornamento, può ricevere il nuovo avviso "sospetto". Le pagine che chiedono di copiare comandi nel terminale, anche per installare strumenti, ora vanno pensate con più attenzione.

WebKit blocca l'infrastruttura di identity resolution

Fonte: WebKit Blog · 19 ottobre 2026

Nelle release 27 di iOS, iPadOS, macOS e visionOS, Safari e WebKit bloccano a livello di dominio l'accesso di rete ai servizi di identity resolution: script di terze parti che raccolgono l'indirizzo email quando ci si registra o si fa login, lo inviano ai propri server e restituiscono un identificativo di tracciamento permanente legato a quell'email. Il blocco per dominio impedisce di aggirarlo cambiando la forma delle richieste. È la risposta di Apple a un metodo di tracciamento nato dopo il blocco dei cookie di terze parti, completo in Safari da sei anni.

Perché conta: gli strumenti di marketing che collegano l'email a un ID di tracciamento possono smettere di funzionare in Safari. Chi li usa nei form di registrazione deve verificare cosa resta delle proprie misurazioni.

API web e strumenti

WebMCP su quasi 100.000 negozi: Cloudflare e Commerce.com

Fonte: Cloudflare Blog · 21 ottobre 2026

WebMCP è una proposta di standard di Google che dà agli agenti AI strumenti strutturati dentro la pagina, come search_products, invece di farli cliccare sui pulsanti. Cloudflare inietta lo script dall'edge e Commerce.com lo ha attivato su tutti i negozi che gestisce, quasi 100.000 domini, con la possibilità per ogni commerciante di disattivarlo. Gli strumenti girano nella sessione del browser dell'utente, sul dominio del negozio, quindi l'agente vede gli stessi prezzi e lo stesso carrello.

Perché conta: WebMCP è ancora sperimentale e si prova dietro un flag di Chrome o nelle Origin Trials, ma indica come i siti potrebbero esporsi agli agenti senza API separate. Il contesto di mercato, con Walmart che apre agli agenti e Amazon che li blocca, è in Business tech.

Framework

React Router 8.5 depreca le sue view transition a favore di quelle di React

Fonte: changelog di React Router · 19 ottobre 2026

Le API di view transition di React Router sono deprecate a favore del componente <ViewTransition> di React, disponibile da React 19.3: continueranno a funzionare per tutta la v8 e saranno rimosse nella v9. Arriva anche una API-only Mode sperimentale (ssr: "unstable_api-only") che serve HTML statico da un CDN mantenendo un server per loader, action e scoperta delle route.

Perché conta: chi usa viewTransition o useViewTransitionState ha tempo fino alla v9, ma conviene migrare insieme all'aggiornamento a React 19.3. La modalità API-only interessa a chi vuole HTML statico su un CDN e logica server su un'altra origine.

Astro 7.4.2: sincronizzazione dei contenuti molto più veloce

Fonte: GitHub Releases, withastro/astro · 21 ottobre 2026

Con experimental.collectionStorage: "chunked" il calcolo della larghezza UTF-8 di ogni carattere ora parte dal code point invece di passare per TextEncoder: su circa 44.000 voci la fase di suddivisione scende da circa 60 secondi a meno di uno, con output identico. La patch corregge anche astro dev con @astrojs/cloudflare quando una dipendenza server richiede node-fetch e un file di lock obsoleto che poteva far terminare un processo estraneo.

Perché conta: chi ha siti con molti contenuti e usa l'archiviazione a blocchi sperimentale vede build e sviluppo molto più rapidi. Per gli altri è una patch di routine.

Vite 8.3.5 e 6.4.5: correzioni a build e dev server in bundle

Fonte: GitHub Releases, vitejs/vite · 21 ottobre 2026

La 8.3.5 corregge la gestione delle import map dei chunk, includendo le dipendenze di preload nel calcolo degli hash, e diverse modalità del dev server in bundle: server.origin applicato agli URL degli asset, le definizioni import.meta.env dell'utente e gli stack degli errori mappati sui sorgenti. Lo stesso giorno è uscita la 6.4.5 per chi resta sulla linea 6.

Perché conta: gli hash delle import map influiscono sulla cache nel browser dopo un deploy, quindi è un aggiornamento utile a chi le usa. È una patch, senza modifiche incompatibili.