I Firefox 87 vil innholdet i HTTP-hodet Referer bli redusert

Mozilla har endra metoden for å danne HTTP Referer-headeren i Firefox 87, som er planlagt for lansering i morgen. For å blokkere potensielle lekkasjer av konfidensielle data, vil Referer-headeren som standard inkludere ikke den fullstendige URL-en fra kilden det navigeres fra, men kun domenet. Sti og forespørsel parametere vil bli kuttet. Det vil si at i stedet for «Referer: https://www.example.com/path/?arguments» vil det bli sendt «Referer: https://www.example.com/». Fra og med Firefox 59 ble en slik rensning utført i privatmodus, men nå vil det også bli utvidet til hovedmodusen.

Den nye oppførselen vil bidra til å forhindre at unødvendige data om brukeren blir sendt til annonseringsnettverk og andre eksterne ressurser. Som et eksempel nevnes enkelte medisinske nettsteder, hvor tredjeparter kan få tilgang til konfidensiell informasjon, som alder og diagnoser, mens de viser annonser. Samtidig kan fjerning av detaljer fra Referer påvirke innsamlingen av statistikk om besøk for nettstedseiere, som nå ikke vil kunne bestemme den forrige sidens adresse nøyaktig, for eksempel for å forstå hvilken artikkel overgangen ble utført fra. Det kan også forstyrre driften til enkelte dynamiske innholdsgenereringssystemer som utfører parsing av nøklene som førte til overgangen fra søkemotoren.

For å styre utsendelsen av Referer er det innført en HTTP-header kalt Referrer-Policy, som lar nettstedseiere overstyre standard oppførsel for overganger fra nettstedet sitt og returnere full informasjon i Referer. For øyeblikket brukes standardpolitikken «no-referrer-when-downgrade», som hindrer at Referer sendes når man går fra HTTPS til HTTP, men sendes i full form ved lasting av ressurser via HTTPS. Fra og med Firefox 87 vil politikken «strict-origin-when-cross-origin» tre i kraft, som innebærer kutting av stier og parametere når forespørselen sendes til andre vertsverter når man kontakter dem via HTTPS, fjerning av Referer når man går fra HTTPS til HTTP, og sending av full Referer for interne overganger innenfor ett nettsted.

Endringen vil gjelde for vanlige navigasjonsforespørsel (klikk på lenker), automatiske omdirigeringer og ved lasting av eksterne ressurser (bilder, CSS, skripter). I Chrome ble overgangen som standard til «strict-origin-when-cross-origin» gjennomført sommeren i fjor.

Kilde: opennet.ru