Firefox 87 tiks samazināts HTTP galvenes Referer saturs

Mozilla uzņēmums ir mainījis HTTP Referer galvenes veidošanas metodi Firefox 87 versijā, kas plānota rītdienai. Lai bloķētu potenciālas konfidenciālo datu noplūdes, pārejot uz citām vietnēm, HTTP galvene Referer pēc noklusējuma iekļaus nevis pilnu URL no avota, no kura notika pāreja, bet tikai domēnu. Ceļš un pieprasījuma parametri tiks izgriezti. Proti, vietā „Referer: https://www.example.com/ceļš/?argumenti” tiks nodota informācija „Referer: https://www.example.com/”. Kopš Firefox 59 līdzīga tīrīšana tika veikta privātās pārlūkošanas režīmā, bet tagad tā tiks attiecināta arī uz galveno režīmu.

Jaunā uzvedība palīdzēs novērst lieku personiskās informācijas nodošanu reklāmas tīklam un citiem ārējiem resursiem. Par piemēru tiek minētas dažas medicīnas vietnes, kurās reklāmas rādīšanas laikā trešās personas var iegūt konfidenciālas ziņas, piemēram, vecumu un diagnosticēto slimību. Tajā pašā laikā detaļu dzēšana no Referer var negatīvi ietekmēt statistikas vākšanu par pārejām, jo vietņu īpašnieki vairs nevarēs precīzi noteikt iepriekšējās lapas adresi, piemēram, lai saprastu, no kuras tieši raksta tika veikta pāreja. Tāpat var ciest dažas dinamiskās satura ģenerēšanas sistēmas, kas veic atslēgu analīzi, kas noveda pie pārejas no meklētājprogrammas.

Referer uzstādīšanai ir paredzēta HTTP galvene Referrer-Policy, ar kuras palīdzību vietņu īpašnieki var pārrakstīt noklusējuma pārejas uzvedību no savas vietnes un atgriezt Referer pilnīgu informāciju. Pašlaik noklusējuma politika ir „no-referrer-when-downgrade”, kurā Referer netiek nosūtīts, pārejot no HTTPS uz HTTP, bet tiek nodots pilnā formā, ielādējot resursus, izmantojot HTTPS. Sākot ar Firefox 87, stāsies spēkā politika „strict-origin-when-cross-origin”, kas nozīmē ceļu un parametru izgriešanu, nosūtot pieprasījumu uz citiem resursiem, pārejot pa HTTPS, nedodot Referer, pārejot no HTTPS uz HTTP, un nosūtot pilnu Referer iekšējām pārejām vienas vietnes ietvaros.

Izmaiņas attieksies uz parastajiem navigācijas pieprasījumiem (pārejām pa saitēm), automātiskajiem pāradresējumiem un ārējo resursu (attēlu, CSS, skriptu) ielādi. Chrome pāreja uz „strict-origin-when-cross-origin” tika īstenota pagājušā gada vasarā.

Avots: opennet.lv