Referrer-Policy-Header

Wie viel der aktuellen Adresse an andere Seiten geht, wenn ein Besucher einen Link anklickt. Die laxen Werte senden die vollständige URL samt Query-String.

• Hilfe

Folgt ein Besucher einem Link oder lädt die Seite eine fremde Ressource, sendet der Browser den Header Referer mit der Adresse der Ausgangsseite. Darin steckt oft einiges: Tokens zum Zurücksetzen von Passwörtern, Suchbegriffe, Bestellnummern, interne Pfade. Die Referrer-Policy bestimmt, wie viel davon Ihre Website verlässt.

So bewertet SiteScan

• „Stark“: ein Wert, der die volle URL nicht an fremde Websites gibt – strict-origin-when-cross-origin, strict-origin, same-origin, origin oder no-referrer;
• „Schwach“: unsafe-url, no-referrer-when-downgrade oder origin-when-cross-origin – sie geben fremden Websites weiterhin die volle Adresse samt Pfad und Parametern;
• „Fehlt“: kein Header. Moderne Browser nutzen dann standardmäßig strict-origin-when-cross-origin, ältere und manche eingebettete Browser nicht.

Empfohlener Wert

Referrer-Policy: strict-origin-when-cross-origin – Ihre eigenen Seiten erhalten die volle Adresse für die Webanalyse, fremde Websites nur die Domain, und von HTTPS zu HTTP geht gar nichts. Ist schon die Domain sensibel, nehmen Sie no-referrer. Partnerprogramme sehen weiterhin die Herkunft des Traffics, nur nicht die genaue Seite. Die übrigen Header der Gruppe finden Sie unter Security-Header.