Firefox 87-s piirdub HTTP päise Referer sisu.

Mozilla on muutnud HTTP Referer päise koostamise meetodit Firefox 87 väljaandes, mis on plaanis välja anda homme. Selle eesmärgiks on vaikimisi takistada potentsiaalsete konfidentsiaalsete andmete leket, et HTTP Referer päis sisaldaks teise saidi külastamisel mitte täielikku URL-i, kust külastus toimus, vaid ainult domeeni. Tee ja päringu parameetrid jäetakse välja. See tähendab, et „Referer: https://www.example.com/path/?arguments“ asemel saadetakse „Referer: https://www.example.com/“. Alates Firefox 59-st toimus sarnane puhastus privaatvaatamise režiimis, kuid nüüd laieneb see ka peamisele režiimile.

Uus käitumine aitab vältida lisainformatsiooni edastamist kasutaja kohta reklaamivõrkudele ja teistele välistele ressurssidele. Näiteks tuuakse välja mõned meditsiinilised saidid, mille reklaami kuvamise käigus saavad kolmandad osalised teavet konfidentsiaalsete andmete, nagu vanus ja patsiendi diagnoos. Sellest hoolimata võib Refererist detailide eemaldamine negatiivselt mõjutada statistika kogumist saidi omanike poolt, kes ei suuda enam täpselt kindlaks teha eelmise lehe aadressi, näiteks selleks, et mõista, millise artikli kaudu külastus toimus. Samuti võib teatud dünaamilise sisu genereerimise süsteemide töö häirida, mis analüüsivad võtmeid, mis viisid külastuseni otsingumootori kaudu.

Refereri määramiseks on ette nähtud HTTP päis Referrer-Policy, mille abil saavad saiti omavad inimesed määrata vaikimisi käitumise oma saidilt suunamiste korral ning edastada Refereris täielikku teavet. Praegu rakendatakse vaikimisi poliitikat „no-referrer-when-downgrade“, mille kohaselt ei saadeta Refererit, kui külastus toimub HTTPS-ilt HTTP-le, kuid edastatakse täieliku kujul HTTPS-i kaudu laadimise korral. Alates Firefox 87-st hakkab kehtima poliitika „strict-origin-when-cross-origin“, mille kohaselt lõigatakse teed ja parameetrid välja, kui tehakse päringuid teistele hostidele HTTPS-i kaudu, eemaldatakse Referer, kui külastus toimub HTTPS-ilt HTTP-le, ja edastatakse täis Referer sisemiste suunamiste korral sama saidi piires.

Muutatus hakkab kehtima tavaliste navigeerimisotsingute (linkide klikkimine), automaatsete ümbersuunamiste ja väliste ressursside (piltide, CSS, skriptide) laadimise puhul. Chrome'is toimus üleminek vaikimisi „strict-origin-when-cross-origin” eelmisel suvel.

Allikas: opennet.ru