V Firefox 87 bo vsebina HTTP glave Referer omejena.

Podjetje Mozilla je spremenilo metodo oblikovanja HTTP Referer glave v izidu Firefox 87, ki je predviden za jutri. Z namenom blokiranja potencialnih uhajanj zaupnih podatkov bo po privzetku pri prehodu na druge strani HTTP glava Referer vsebovala ne polni URL izvora, s katerega je prišlo do prehoda, temveč le domeno. Pot in parametri poizvedbe bodo izrezani. To pomeni, da bo namesto "Referer: https://www.example.com/pot/?argumenti" poslan "Referer: https://www.example.com/". Začelo se je z Firefox 59, kjer se je to čiščenje izvajalo v privatnem brskanju, zdaj pa bo razširjeno tudi na osnovni način.

Novo vedenje bo pomagalo preprečiti prenos odvečnih podatkov o uporabniku oglaševalskim omrežjem in drugim zunanjim virom. Kot primer so navedene nekatere medicinske strani, pri prikazu oglasov na katerih tretje osebe lahko pridobijo zaupne informacije, kot so starost in diagnoza, postavljena pacientu. Hkrati lahko odstranitev podrobnosti iz Referer negativno vpliva na zbiranje statističnih podatkov o prehodih lastnikov spletnih strani, ki zdaj ne bodo mogle natančno določiti naslova prejšnje strani, na primer za razumevanje, iz katerega članka je bil opravljen prehod. Prav tako se lahko moti delovanje nekaterih sistemov dinamičnega generiranja vsebine, ki izvajajo analizo ključev, ki so privedli do prehoda iz iskalnika.

Za upravljanje dodeljevanja Refererja je predvidena HTTP glava Referrer-Policy, s katero lahko lastniki spletnih strani presegajo privzeto vedenje za prehode s svojega spletnega mesta in vrnejo v Referer polne informacije. Trenutno je privzeto uporabljena politika "no-referrer-when-downgrade", pri kateri Referer ni poslan pri prehodu z HTTPS na HTTP, vendar se posreduje v polni obliki pri nalaganju virov preko HTTPS. Začelo se bo z Firefox 87, ko bo začela veljati politika "strict-origin-when-cross-origin", ki pomeni izrezovanje poti in parametrov pri pošiljanju poizvedbe na druge gostitelje pri dostopu skozi HTTPS, odstranitev Refererja pri prehodu z HTTPS na HTTP in posredovanje polnega Refererja za notranje prehode znotraj enega spletnega mesta.

Spremembo bo veljalo za običajne navigacijske poizvedbe (prehodi po povezavah), avtomatske preusmeritve in pri nalaganju zunanjih virov (slik, CSS, skriptov). V Chromu je prehod privzeto na „strict-origin-when-cross-origin“ potekel poleti lani.

Izvor: opennet.ru