Nagłówek Referrer-Policy

Ile z bieżącego adresu trafia do innych witryn, gdy odwiedzający kliknie odnośnik. Luźne wartości wysyłają pełny URL razem z parametrami.

• Pomoc

Gdy odwiedzający klika link albo strona ładuje zasób z zewnątrz, przeglądarka wysyła nagłówek Referer z adresem strony, z której przychodzi. Ten adres może zawierać sporo: tokeny resetu hasła, frazy wyszukiwania, numery zamówień, wewnętrzne ścieżki. Referrer-Policy decyduje, ile z niego opuszcza witrynę.

Jak ocenia to SiteScan

• „Mocny”: wartość, która nie przekazuje pełnego URL innym witrynom — strict-origin-when-cross-origin, strict-origin, same-origin, origin lub no-referrer;
• „Słaby”: unsafe-url, no-referrer-when-downgrade lub origin-when-cross-origin — nadal przekazują obcym witrynom pełny adres ze ścieżką i parametrami;
• „Brak”: nagłówka nie ma. Nowoczesne przeglądarki stosują wtedy domyślnie strict-origin-when-cross-origin, ale starsze i część wbudowanych już nie.

Zalecana wartość

Referrer-Policy: strict-origin-when-cross-origin — własne strony dostają pełny adres do analityki, obce witryny widzą tylko domenę, a z HTTPS na HTTP nie trafia nic. Jeśli wrażliwa jest nawet domena, użyj no-referrer. Programy partnerskie nadal widzą źródło ruchu, tylko bez konkretnej strony. Pozostałe nagłówki grupy opisuje strona o nagłówkach bezpieczeństwa.