Spoločnosť Mozilla zmenila metódu generovania HTTP hlavičky Referer v vydaní Firefox 87, plánovanom na zajtra. S cieľom zablokovať potenciálne úniky dôverných údajov, pri prechode na iné weby bude hlavička Referer predvolene zahŕňať len doménu, nie celý URL zdroja, z ktorého bol prechod uskutočnený. Cesta a parametre dopytu budú vystrihnuté. T.j. namiesto "Referer: https://www.example.com/cesta/?argumenty" bude odoslané "Referer: https://www.example.com/". Od Firefox 59 sa takáto úprava zaoberala v režime súkromného prehliadania, a teraz sa rozšíri aj na hlavný režim.
Nové správanie pomôže zabrániť odovzdávaniu nadbytočných údajov o používateľoch reklamným sieťam a iným externým zdrojom. Ako príklad sa uvádzajú niektoré zdravotnícke weby, pri zobrazení reklamy na ktorých tretie strany môžu získať dôverné informácie, ako je vek a diagnóza pacienta. Odstránenie podrobností z Referer však môže negatívne ovplyvniť zhromažďovanie štatistiky o prechodoch majiteľmi webov, ktorí teraz nebudú môcť presne určiť adresu predchádzajúcej stránky, napríklad na pochopenie, z ktorej konkrétnej článku bol prechod uskutočnený. Rovnako môže narušiť činnosť niektorých systémov dynamickej generácie obsahu, ktoré vykonávajú rozbor kľúčov, ktoré viedli k prechodu z vyhľadávača.
Na riadenie vystavenia Referer je predpísaná HTTP hlavička Referrer-Policy, prostredníctvom ktorej môžu majitelia webov predefinovať predvolené správanie pre prechody zo svojho webu a vrátiť do Referer úplné informácie. V súčasnosti je predvolená politika "no-referrer-when-downgrade", pri ktorej Referer nie je odoslaný pri prechode z HTTPS na HTTP, ale je odovzdaný v plnej forme pri načítavaní zdrojov cez HTTPS. Od Firefox 87 začne platiť politika "strict-origin-when-cross-origin", ktorá predpokladá vystrihnutie ciest a parametrov pri odosielaní požiadavky na iné hostiteľa pri volaní cez HTTPS, odstránenie Referer pri prechode z HTTPS na HTTP a odovzdávanie úplného Referer pre interné prechody v rámci jedného webu.
Zmena bude platiť pre bežné navigačné požiadavky (kliknutí na odkazy), automatické presmerovania a pri načítaní externých zdrojov (obrázkov, CSS, skriptov). V Chrome bola predvolená zmena na „strict-origin-when-cross-origin“ uskutočnená minulý rok v lete.
Zdroj: opennet.ru
