Tvrtka Mozilla promijenila je metodu formiranja HTTP Referer zaglavlja u izdanju Firefox 87, koje je planirano za sutra. Kako bi se blokirali potencijalni curenja osjetljivih podataka, po defaultu, pri prelasku na druge web stranice, HTTP zaglavlje Referer će uključivati samo domenu umjesto pune URL adrese izvora s kojeg se napravio prijelaz. Putanja i parametri upita bit će izrezani. Dakle, umjesto "Referer: https://www.example.com/path/?argumenti" bit će proslijeđen "Referer: https://www.example.com/". Počinje s Firefox 59, slična čišćenja obavljala su se u privatnom načinu rada, a sada će biti proširena i na osnovni način rada.
Novo ponašanje će pomoći u sprječavanju prijenosa suvišnih podataka o korisnicima oglašivačkim mrežama i drugim vanjskim resursima. Kao primjer navode se neki medicinski web-sajtovi, tijekom prikazivanja reklama na kojima treće strane mogu dobiti povjerljive informacije, poput dobi i dijagnoze pacijenta. U isto vrijeme, uklanjanje detalja iz Referer zaglavlja može negativno utjecati na prikupljanje statistika o prijelazima od strane vlasnika web-sajtova, koji sada neće moći točno odrediti adresu prethodne stranice, primjerice kako bi razumjeli s kojeg se točno članka izvršio prijelaz. Također može doći do problema u radu nekih sustava dinamičkog generiranja sadržaja koji izvode analizu ključeva koji su doveli do prijelaza iz tražilice.
Za upravljanje postavljanjem Referer zaglavlja postoji HTTP zaglavlje Referrer-Policy, uz pomoć kojeg vlasnici web-sajtova mogu prepisati ponašanje po defaultu za prijelaze sa svog sajta i vratiti punu informaciju u Referer. Trenutno, po defaultu, primjenjuje se politika „no-referrer-when-downgrade“, pri čemu se Referer ne šalje prilikom prelaska s HTTPS na HTTP, ali se šalje u punom obliku prilikom učitavanja resursa putem HTTPS-a. Od Firefox 87 počet će se primjenjivati politika „strict-origin-when-cross-origin“, koja podrazumijeva izrezivanje putanja i parametara prilikom slanja zahtjeva na druge hostove kada se obraćate putem HTTPS-a, uklanjanje Referera prilikom prelaska s HTTPS na HTTP i prijenos punog Referera za interne prijelaze unutar jednog web-sajta.
Promjena će se primjenjivati na uobičajene navigacijske zahtjeve (klikove na linkove), automatske preusmjeravanja i prilikom učitavanja vanjskih resursa (slika, CSS, skripti). U Chromeu je zadana promjena na „strict-origin-when-cross-origin” provedena prošlog ljeta.
Izvor: opennet.ru
