A Mozilla társaság megváltoztatta a HTTP Referer fejléc generálási módját a holnapra tervezett Firefox 87 kiadásban. A potenciális személyes adatlopások megakadályozása érdekében alapértelmezés szerint, amikor más weboldalakra navigálunk, a Referer HTTP fejléc nem a forrást jelentő teljes URL-t tartalmazza, hanem csak a domaint. Az útvonal és a lekérdezési paraméterek eltávolításra kerülnek. Tehát a „Referer: https://www.example.com/útvonal/?paraméterek” helyett a „Referer: https://www.example.com/” kerül továbbításra. A Firefox 59 óta hasonló tisztítás történt a privát böngészési mód alatt, most pedig a normál módra is kiterjesztik.
Az új viselkedés segít megelőzni, hogy a felhasználóról felesleges adatokat továbbítsanak a hirdetési hálózatoknak és más külső forrásoknak. Példaként említik, hogy bizonyos egészségügyi weboldalak esetében a hirdetések megjelenítése során harmadik felek érzékeny információkhoz juthatnak, például a felhasználó korához és a diagnózisához. Ugyanakkor a Referer részleteinek eltávolítása negatívan befolyásolhatja a weboldal-tulajdonosok statisztika gyűjtését, akik most már nem tudják pontosan meghatározni az előző oldal címét, például a cikk megértéséhez, amelyből a navigálás történt. Bizonyos dinamikus tartalomszolgáltató rendszerek működése, amelyek a keresőmotorból származó kulcsokat elemzik, szintén megsérülhet.
A Referer kezelése érdekében HTTP Referrer-Policy fejléc áll rendelkezésre, amely lehetővé teszi a weboldal-tulajdonosok számára, hogy felülbírálják az alapértelmezett viselkedést a saját weboldalukról történő navigálások esetén, és visszaállíthassák a Referer teljes információt. Jelenleg az „no-referrer-when-downgrade” politika van érvényben, amelyben a Referer nem kerül továbbításra, amikor HTTPS-ről HTTP-ra navigálnak, de teljes formájában továbbítódik, ha HTTPS erőforrásokat töltenek be. A Firefox 87-től kezdődően a „strict-origin-when-cross-origin” politika lép életbe, amely magában foglalja az útvonalak és paraméterek eltávolítását más hosztokra való kérések során HTTPS használatakor, a Referer eltávolítását HTTPS-ről HTTP-ra való átmenetkor, és a teljes Referer továbbítását egy weboldalon belüli belső navigációk esetén.
A módosítás érvényes lesz a normál navigációs kérdésekre (linkekre kattintás), automatikus átirányításokra és külső erőforrások (képek, CSS, szkriptek) betöltésére. A Chrome alapértelmezett váltása a „strict-origin-when-cross-origin” módra tavaly nyáron történt.
Forrás: opennet.ru
