A empresa Mozilla alterou o método de formação do cabeçalho HTTP Referer na versão do Firefox 87, programada para amanhã. Com o objetivo de bloquear vazamentos potenciais de dados confidenciais, por padrão, ao navegar para outros sites, o cabeçalho Referer incluirá não a URL completa de origem, mas apenas o domínio. O caminho e os parâmetros da solicitação serão cortados. Ou seja, em vez de "Referer: https://www.example.com/caminho/?argumentos", será enviado "Referer: https://www.example.com/". Desde o Firefox 59, essa limpeza já era realizada em modo de navegação privada, mas agora será aplicada também ao modo padrão.
Esse novo comportamento ajudará a evitar a transmissão de dados desnecessários sobre o usuário para redes publicitárias e outros recursos externos. Como exemplo, alguns sites médicos mostram que durante a exibição de anúncios, terceiros podem obter informações confidenciais, como idade e diagnóstico do paciente. No entanto, a remoção de detalhes do Referer pode impactar negativamente a coleta de estatísticas sobre acessos pelos proprietários dos sites, que agora não poderão determinar com precisão o endereço da página anterior, por exemplo, para entender de qual artigo exato a navegação foi feita. Além disso, isso pode interferir no funcionamento de alguns sistemas de geração dinâmica de conteúdo que realizam a análise de chaves que levaram à navegação a partir de um motor de busca.
Para gerenciar a exibição do Referer, existe o cabeçalho HTTP Referrer-Policy, que permite que os proprietários de sites substituam o comportamento padrão para navegações a partir de seu site e retornem ao Referer informações completas. Atualmente, a política padrão é "no-referrer-when-downgrade", na qual o Referer não é enviado ao navegar de HTTPS para HTTP, mas é transmitido em sua forma completa ao carregar recursos via HTTPS. A partir do Firefox 87, a política "strict-origin-when-cross-origin" será aplicada, que implica na remoção de caminhos e parâmetros ao enviar solicitações para outros hosts ao acessar por HTTPS, a exclusão do Referer ao navegar de HTTPS para HTTP e a transmissão do Referer completo para navegações internas em um único site.
A alteração será aplicada a solicitações de navegação normais (cliques em links), redirecionamentos automáticos e ao carregar recursos externos (imagens, CSS, scripts). No Chrome, a mudança para 'strict-origin-when-cross-origin' foi implementada no verão do ano passado.
Fonte: opennet.ru
