Die Firma Mozilla hat die Methode zur Erstellung des HTTP Referer-Headers in der für morgen geplanten Veröffentlichung von Firefox 87 geändert. Um potenzielle Lecks vertraulicher Daten zu blockieren, wird der HTTP-Header Referer standardmäßig beim Wechsel zu anderen Websites nicht die vollständige URL des Ursprungs, von dem der Wechsel erfolgt, enthalten, sondern nur die Domain. Der Pfad und die Abfrageparameter werden entfernt. Das heißt, anstelle von „Referer: https://www.example.com/pfad/?argumente“ wird „Referer: https://www.example.com/“ übermittelt. Seit Firefox 59 wurde eine ähnliche Bereinigung im privaten Modus durchgeführt, und nun wird sie auch auf den regulären Modus ausgeweitet.
Das neue Verhalten wird helfen, die Übertragung unnötiger Daten über den Benutzer an Werbenetzwerke und andere externe Ressourcen zu verhindern. Als Beispiel werden einige medizinische Websites genannt, auf denen Drittanbieter beim Anzeigen von Werbung vertrauliche Informationen wie Alter und Diagnose des Patienten erhalten können. Gleichzeitig kann das Entfernen von Details aus dem Referer negative Auswirkungen auf die statistische Erfassung der Zugriffe durch Webseitenbetreiber haben, die nun nicht mehr genau bestimmen können, woher der Benutzer kam, beispielsweise um zu verstehen, von welchem Artikel der Wechsel erfolgt ist. Auch die Funktionsweise einiger dynamischer Inhaltserzeugungssysteme, die die Schlüssel analysieren, die zum Wechsel aus einer Suchmaschine geführt haben, könnte beeinträchtigt werden.
Zur Steuerung der Übermittlung des Referers gibt es den HTTP-Header Referrer-Policy, mit dessen Hilfe Webseitenbetreiber das Standardverhalten für die Wechsel von ihrer Webseite aus überschreiben und die vollständigen Angaben im Referer zurückgeben können. Derzeit gilt standardmäßig die Richtlinie „no-referrer-when-downgrade“, bei der der Referer beim Wechsel von HTTPS zu HTTP nicht gesendet wird, jedoch in vollständiger Form beim Laden von Ressourcen über HTTPS übermittelt wird. Ab Firefox 87 wird die Richtlinie „strict-origin-when-cross-origin“ in Kraft treten, die das Entfernen von Pfaden und Parametern beim Senden von Anfragen an andere Hosts bei HTTPS-Anfragen, das Entfernen des Referers beim Wechsel von HTTPS zu HTTP und die Übermittlung des vollständigen Referers für interne Wechsel innerhalb derselben Webseite umfasst.
Die Änderung wird für normale Navigationsanfragen (Link-Klicks), automatische Weiterleitungen und beim Laden externer Ressourcen (Bilder, CSS, Skripte) wirksam. In Chrome wurde der Standardwechsel zu „strict-origin-when-cross-origin“ im vergangenen Sommer vollzogen.
Quelle: opennet.ru
