Společnost Mozilla změnila způsob, jakým se tvoří hlavička HTTP Referer ve verzi Firefox 87, která má být vydána zítra. Aby se zabránilo možnému úniku citlivých dat, bude hlavička Referer při přechodu na jiné weby výchozím nastavením zahrnovat pouze doménu, nikoli celou URL adresu zdroje. Cesta a parametry dotazu budou odstraněny. To znamená, že místo 'Referer: https://www.example.com/pat/argumanty' bude odesláno 'Referer: https://www.example.com/'. Od Firefoxu 59 se tato čistění aplikovala v režimu soukromého prohlížení, a nyní bude rozšířena i na běžný režim.
Nové chování pomůže zabránit předávání nepotřebných informací o uživatelském chování reklamním sítím a dalším externím zdrojům. Jako příklad jsou uvedeny některé lékařské weby, na kterých mohou třetí strany při zobrazování reklamy získat citlivé údaje, jako je věk a diagnóza pacienta. Odstranění podrobností z Referer může však negativně ovlivnit shromažďování statistik o přechodech vlastníky webů, kteří nyní nebudou schopni přesně určit adresu předchozí stránky, například k určení, z jakého konkrétního článku došlo k přechodu. Také může být narušena funkce některých systémů dynamické generace obsahu, které analyzují klíče vedoucí k přechodu z vyhledávače.
Pro řízení udělování Referer byl zaveden HTTP header Referrer-Policy, pomocí kterého mohou vlastníci webů předefinovat výchozí chování přechodů z jejich webu a vrátit do Referer kompletní informace. V současné době platí výchozí politika 'no-referrer-when-downgrade', při které se Referer neodesílá při přechodu z HTTPS na HTTP, ale v plném formátu se přenáší při načítání zdrojů přes HTTPS. Od Firefoxu 87 začne platit politika 'strict-origin-when-cross-origin', která zahrnuje odstranění cest a parametrů při odesílání žádosti na jiné hostitele při přístupu přes HTTPS, odstranění Referer při přechodu z HTTPS na HTTP a přenos plného Referer pro interní přechody v rámci jedné webové stránky.
Změna se bude vztahovat na běžné navigační požadavky (přechody na odkazy), automatické přesměrování a při načítání externích zdrojů (obrázků, CSS, skriptů). V Chromu došlo k přechodu na "strict-origin-when-cross-origin" v létě loňského roku.
Zdroj: opennet.ru
