Mozilla har ändrat metoden för att skapa HTTP Referer-rubriken i Firefox 87, som är planerad att lanseras imorgon. För att blockera potentiella läckor av känslig information kommer HTTP-rubriken Referer som standard att inkludera inte hela URL:en från källan där övergången gjordes, utan bara domänen. Vägen och frågeparametrarna kommer att tas bort. Det vill säga istället för "Referer: https://www.example.com/väg/?argument" kommer "Referer: https://www.example.com/" att skickas. Från och med Firefox 59 har liknande rensning genomförts i privat surfning, och nu kommer det att tillämpas i det normala läget.
Detta nya beteende kommer att hjälpa till att förhindra att överflödig information om användaren överförs till reklamnätverk och andra externa källor. Som exempel nämns vissa medicinska webbplatser, där tredje parter kan få känslig information som ålder och ställd diagnos i samband med visning av annonser. Avlägsnandet av detaljer från Referer kan dock ha en negativ inverkan på insamlingen av statistik om övergångar, eftersom webbplatsägare nu inte kan fastställa den föregående sidans adress exakt, till exempel för att förstå från vilken artikel övergången gjordes. Dessutom kan funktionaliteten hos vissa system för dynamisk innehållsgenerering som analyserar nycklar, som ledde till övergången från en sökmotor, påverkas.
För att hantera inställningen av Referer finns det en HTTP-rubrik som kallas Referrer-Policy, där webbplatsägare kan åsidosätta standardbeteendet för övergångar från sin webbplats och återföra full information i Referer. För närvarande tillämpas standardpolitiken "no-referrer-when-downgrade", där Referer inte skickas när man övergår från HTTPS till HTTP, men skickas i full form när resurser laddas via HTTPS. Från och med Firefox 87 kommer policyn "strict-origin-when-cross-origin" att träda i kraft, vilket innebär att vägar och parametrar kommer att skäras bort vid överföring av förfrågningar till andra värdar när man använder HTTPS, att Referer tas bort vid övergångar från HTTPS till HTTP och att full Referer överförs för interna övergångar inom samma webbplats.
Ändringen kommer att gälla för vanliga navigeringsförfrågningar (klick på länkar), automatiska omdirigeringar och vid inladdning av externa resurser (bilder, CSS, skript). I Chrome genomfördes övergången till "strict-origin-when-cross-origin" sommaren förra året.
Källa: opennet.ru
