Firefox 87 schneidet den Inhalt des Referer-HTTP-Headers ab

Mozilla hat die Form des HTTP-Referer-Headers in Firefox 87 geändert, dessen Veröffentlichung für morgen geplant ist. Um potenzielle Lecks vertraulicher Daten zu verhindern, enthält der Referer-HTTP-Header beim Wechsel zu anderen Websites standardmäßig nicht die vollständige URL der Quelle, von der der Wechsel erfolgte, sondern nur die Domain. Pfad- und Anforderungsparameter werden entfernt. Das heißt, statt „Referer: https://www.example.com/path/?arguments“ lautet die Zeile „Referer: https://www.example.com/“. Seit Firefox 59 wurde diese Bereinigung im privaten Modus durchgeführt und wird nun auch auf den Hauptmodus ausgeweitet.

Das neue Verhalten verhindert die unnötige Übertragung von Nutzerdaten an Werbenetzwerke und andere externe Ressourcen. Als Beispiel werden einige medizinische Websites genannt, auf denen Dritte während der Anzeigenschaltung vertrauliche Informationen wie Alter und Diagnose des Patienten erhalten könnten. Gleichzeitig kann das Entfernen von Details aus dem Referrer die Erfassung von Statistiken über Seitenwechsel durch Websitebesitzer beeinträchtigen, da diese nun die Adresse der vorherigen Seite nicht mehr genau bestimmen können, um beispielsweise zu verstehen, von welchem ​​Artikel der Seitenwechsel stammt. Auch die Funktion einiger dynamischer Inhaltsgenerierungssysteme, die die Schlüssel analysieren, die von der Suchmaschine zum Seitenwechsel geführt haben, kann beeinträchtigt werden.

Der HTTP-Header „Referrer-Policy“ dient zur Steuerung der Referrer-Einstellung. Dadurch können Websitebesitzer das Standardverhalten für Übergänge von ihrer Website überschreiben und die Angabe vollständiger Informationen im Referrer zurückgeben. Die aktuelle Standardrichtlinie lautet „no-referrer-when-downgrade“. Dabei wird der Referrer beim Wechsel von HTTPS zu HTTP nicht gesendet, beim Laden von Ressourcen über HTTPS jedoch vollständig übertragen. Ab Firefox 87 gilt die Richtlinie „strict-origin-when-cross-origin“. Dies bedeutet, dass Pfade und Parameter beim Senden einer Anfrage an andere Hosts beim Zugriff über HTTPS gekürzt, der Referrer beim Wechsel von HTTPS zu HTTP entfernt und der vollständige Referrer für interne Übergänge innerhalb einer Website übertragen wird.

Die Änderung betrifft reguläre Navigationsanfragen (Link-Klicks), automatische Weiterleitungen und das Laden externer Ressourcen (Bilder, CSS, Skripte). Chrome ist im vergangenen Sommer standardmäßig auf „strict-origin-when-cross-origin“ umgestiegen.

Source: opennet.ru