Firefox 87-s vähendatakse HTTP päise Referer sisu

Mozilla on muutnud HTTP Referer pea pealkirja koostamise meetodit Firefoxi versioonis 87, mis jõustub homme. Potentsiaalsete isikuandmete lekete vältimiseks sisaldab Referer HTTP-pea vaikimisi mitte täis URL-i, millelt üleminek toimub, vaid ainult domeeni. Tee ja päring parameetrid lõigatakse välja. See tähendab, et "Referer: https://www.example.com/path/?arguments" asemel edastatakse "Referer: https://www.example.com/". Alates Firefoxi versioonist 59 viidi sarnane puhastamine läbi privaatses vaatamisrežiimis, kuid nüüd laieneb see ka peamisele režiimile.

Uue käitumise abil on võimalik vältida liigsete andmete edastamist kasutaja kohta reklaamivõrkudele ja teistele välistootjatele. Näitena toodi mõned meditsiinisaidid, mille reklaamide kuvamise käigus võivad kolmandad osalised saada konfidentsiaalset teavet, nagu vanus ja patsiendi diagnoos. Samas võib detailide eemaldamine Refererist negatiivselt mõjutada veebilehtede omanikest statistika kogumist, kes ei suuda enam täpselt määrata eelneva lehe aadressi, näiteks selleks, et mõista, milliselt artiklilt tehti üleminek. Samuti võivad mõned dünaamilise sisu genereerimise süsteemid, mis töötlevad võtmeid, mis viisid otsingumootorist üleminekuni, hakata tõrkele.

Refereri haldamiseks on ette nähtud HTTP-pealkiri Referrer-Policy, mille abil saavad veebilehtede omanikud üle kirjutada vaikimisi käitumise oma saidilt toimuvate üleminekute jaoks ja edastada Refereris täies mahus teavet. Praegu kehtib vaikimisi poliitika „no-referrer-when-downgrade“, mille kohaselt ei saadeta Refererit üleminekul HTTPS-ilt HTTP-ile, kuid see edastatakse täies mahus HTTPS-i kaudu laaditavate ressursside korral. Alates Firefox 87-st hakkab kehtima poliitika „strict-origin-when-cross-origin“, mille kohaselt kärbitakse teid ja parameetreid, kui saadetakse päringuid teistesse hostidesse HTTPS-i kaudu, kustutatakse Referer üleminekul HTTPS-ilt HTTP-ile ja edastatakse täielik Referer sisesest üleminekust ühe ja sama saidi raamistikus.

Muudatus kehtib tavaliste navigeerimispäringute (üleminekute linkide kaudu), automaatsete suunamiste ja välimiste ressursside (piltide, CSS, skriptide) laadimise korral. Chromes viidi vaikimisi üleminek „strict-origin-when-cross-origin“ sisse eelmise suve jooksul.

Allikas: opennet.ru