Mozilla har ændret metoden til at generere HTTP Referer-headeren i Firefox 87, der er planlagt til i morgen. For at blokere for potentielle lækager af fortrolige oplysninger vil HTTP-headeren Referer som standard kun inkludere domænet fra hvilken side der navigeres, og ikke den fulde URL. Stien og forespørgselsparametre vil blive fjernet. Dvs. i stedet for "Referer: https://www.example.com/sti/?argumenter" vil der blive sendt "Referer: https://www.example.com/". Fra og med Firefox 59 blev en sådan rensning udført i privat visning, men nu vil den også gælde for normal tilstand.
Den nye adfærd vil hjælpe med at forhindre, at unødvendige data om brugeren sendes til reklamenetværk og andre eksterne ressourcer. Som eksempel nævnes nogle medicinske websteder, hvor tredjeparter kan få fortrolige oplysninger, såsom alder og diagnose, under visningen af reklamer. Samtidig kan fjernelse af detaljer fra Referer negativt påvirke indsamlingen af statistikker om besøg fra webstedsejere, der nu ikke vil kunne bestemme den præcise adresse på den forrige side, for eksempel for at forstå fra hvilken artikel besøget blev foretaget. Det kan også forstyrre nogle systemer til dynamisk generering af indhold, der udfører parsing af nøgleord, der førte til besøget fra søgemaskinen.
For at styre angivelsen af Referer er der en HTTP-header kaldet Referrer-Policy, hvorigennem webstedsejere kan overrule standardadfærden for overgange fra deres websted og returnere den fulde information i Referer. I øjeblikket anvendes som standard politikken "no-referrer-when-downgrade", hvor Referer ikke sendes, når der navigeres fra HTTPS til HTTP, men sendes i fuld form ved indlæsning af ressourcer over HTTPS. Fra og med Firefox 87 træder politikken "strict-origin-when-cross-origin" i kraft, hvilket indebærer fjernelse af stier og parametre ved afsendelse af anmodninger til andre værter ved henvendelse over HTTPS, fjernelse af Referer ved overgange fra HTTPS til HTTP, og sending af den fulde Referer til interne overgange inden for det samme websted.
Ændringen vil gælde for almindelige navigationsanmodninger (klik på links), automatiske omdirigeringer og når der indlæses ekstern indhold (billeder, CSS, scripts). I Chrome blev der som standard overgået til "strict-origin-when-cross-origin" sidste sommer.
Kilde: opennet.ru
