Mozilla heeft de manier waarop de HTTP Referer-header wordt gegenereerd gewijzigd in de release van Firefox 87, die morgen gepland staat. Om potentiƫle lekken van vertrouwelijke gegevens te blokkeren, zal de Referer HTTP-header standaard niet de volledige URL van de oorspronkelijke site bevatten, maar alleen het domein. Het pad en de queryparameters worden weggelaten. Dit betekent dat in plaats van 'Referer: https://www.example.com/pad/?argumenten' alleen 'Referer: https://www.example.com/' zal worden verzonden. Sinds Firefox 59 werd een dergelijke opschoning al toegepast in de privƩ-modus, maar nu zal het ook worden uitgebreid naar de gewone modus.
Het nieuwe gedrag helpt voorkomen dat onnodige informatie over gebruikers naar advertentienetwerken en andere externe bronnen wordt gestuurd. Voorbeelden hiervan zijn bepaalde medische websites, waar derden tijdens het tonen van advertenties vertrouwelijke informatie zoals de leeftijd en de diagnose van de patiĆ«nt kunnen verkrijgen. Het verwijderen van details uit de Referer kan echter de statistieken over overstappen voor website-eigenaren negatief beĆÆnvloeden, aangezien ze nu niet precies kunnen bepalen van welke pagina de overstap is gemaakt, bijvoorbeeld om te begrijpen van welk artikel de overstap plaatsvond. Dit kan ook de werking van sommige dynamische inhoudgeneratiesystemen verstoren, die de sleutels analyseren die hebben geleid tot de overstap vanuit de zoekmachine.
Om het versturen van de Referer te beheren, is er de HTTP-header Referrer-Policy, waarmee website-eigenaren het standaardgedrag voor navigaties van hun site kunnen overschrijven en volledige informatie in de Referer kunnen herstellen. Momenteel is de standaardpolitiek 'no-referrer-when-downgrade', waarbij de Referer niet wordt verzonden wanneer er een overstap van HTTPS naar HTTP is, maar volledig wordt verzonden bij het laden van bronnen via HTTPS. Vanaf Firefox 87 zal de politiek 'strict-origin-when-cross-origin' in werking treden, die inhoudt dat paden en parameters worden verwijderd bij het verzenden van verzoeken naar andere hosts wanneer verbinding wordt gemaakt via HTTPS, de Referer wordt verwijderd bij een overstap van HTTPS naar HTTP en de volledige Referer wordt verzonden voor interne overstappen binnen dezelfde site.
De wijziging is van toepassing op reguliere navigatieverzoeken (klikken op links), automatische omleidingen en bij het laden van externe bronnen (afbeeldingen, CSS, scripts). In Chrome is de standaardoverschakeling naar "strict-origin-when-cross-origin" afgelopen zomer doorgevoerd.
Bron: opennet.ru
