Firefox 87 יקצץ את התוכן של כותרת ה-HTTP Referer

מוזילה שינתה את האופן שבו היא מייצרת את כותרת ה-HTTP Referer בפיירפוקס 87, המתוכננת לצאת מחר. על מנת לחסום דליפות פוטנציאליות של נתונים סודיים, כברירת מחדל בעת ניווט לאתרים אחרים, כותרת ה-Referer HTTP לא תכלול את כתובת האתר המלאה של המקור ממנו בוצע המעבר, אלא רק את הדומיין. הפרמטרים של הנתיב והבקשה ייחתכו. הָהֵן. במקום "Referer: https://www.example.com/path/?arguments", "Referer: https://www.example.com/" יישלח. החל מ-Firefox 59, ניקוי זה נעשה במצב גלישה פרטית, וכעת הוא יורחב למצב ראשי.

ההתנהגות החדשה תסייע במניעת העברה של נתוני משתמשים מיותרים לרשתות פרסום ומשאבים חיצוניים אחרים. כדוגמה, חלק מהאתרים הרפואיים ניתנים בתהליך הצגת פרסומות שבהן צדדים שלישיים יכולים לקבל מידע סודי, כגון גיל המטופל ואבחנתו. יחד עם זאת, הסרת פרטים מהמפנה עלולה להשפיע לרעה על איסוף הנתונים הסטטיסטיים על מעברים על ידי בעלי אתרים, שכעת לא יוכלו לקבוע במדויק את כתובת העמוד הקודם, למשל, כדי להבין באיזה מאמר בוצע המעבר. מ. זה גם עלול לשבש את פעולתן של כמה מערכות יצירת תוכן דינמיות שמנתחות את המפתחות שהובילו למעבר ממנוע החיפוש.

כדי לשלוט על ההגדרה של Referer, מסופקת כותרת ה-HTTP של Referrer-Policy, שבה בעלי אתרים יכולים לעקוף את התנהגות ברירת המחדל למעברים מהאתר שלהם ולהחזיר את המידע המלא למפנה. נכון לעכשיו, מדיניות ברירת המחדל היא "no-referrer-when-downgrade", כאשר ה-Referer לא נשלח בעת שדרוג לאחור מ-HTTPS ל-HTTP, אלא נשלח בצורה מלאה בעת הורדת משאבים באמצעות HTTPS. החל מ-Firefox 87, מדיניות ה-"strict-origin-when-cross-origin" תיכנס לתוקף, כלומר ניתוק נתיבים ופרמטרים בעת שליחת בקשה למארחים אחרים בעת גישה באמצעות HTTPS, הסרת ה-Referer בעת מעבר מ-HTTPS ל-HTTPS ל-HTTPS. HTTP, והעברת ה-Referer המלא למעברים פנימיים בתוך אתר אחד.

השינוי יחול על בקשות ניווט רגילות (לינקים הבאים), הפניות אוטומטיות ובעת טעינת משאבים חיצוניים (תמונות, CSS, סקריפטים). בכרום, מתג ברירת המחדל ל-"strict-origin-when-cross-origin" יושם בקיץ שעבר.

מקור: OpenNet.ru