Заголовок Referrer-Policy

Сколько текущего адреса уходит на чужие сайты, когда посетитель кликает по ссылке. Слабые значения отдают полный URL вместе со строкой параметров.

• Помощь

Когда посетитель переходит по ссылке или страница загружает сторонний ресурс, браузер отправляет заголовок Referer с адресом страницы, откуда пришёл запрос. В этом адресе бывает многое: токены сброса пароля, поисковые запросы, номера заказов, внутренние пути. Referrer-Policy решает, какая его часть уходит за пределы сайта.

Как SiteScan это оценивает

• «Сильный»: значение, при котором полный URL не уходит на другие сайты, — strict-origin-when-cross-origin, strict-origin, same-origin, origin или no-referrer;
• «Слабый»: unsafe-url, no-referrer-when-downgrade или origin-when-cross-origin — они всё ещё передают чужим сайтам полный адрес с путём и параметрами;
• «Отсутствует»: заголовка нет. Современные браузеры тогда по умолчанию применяют strict-origin-when-cross-origin, но старые и некоторые встроенные — нет.

Рекомендуемое значение

Referrer-Policy: strict-origin-when-cross-origin — ваши страницы получают полный адрес для аналитики, чужие сайты видят только домен, а с HTTPS на HTTP не уходит ничего. Если чувствителен даже домен, используйте no-referrer. Партнёрские программы по-прежнему видят источник трафика, только без конкретной страницы. Остальные заголовки группы — на странице о заголовках безопасности.