Firefox 87 kommer att trimma innehållet i HTTP Referer-huvudet

Mozilla har ändrat hur HTTP Referer-headern är utformad i Firefox 87, vilket är planerat att släppas imorgon. För att blockera potentiella läckor av konfidentiell data kommer Referer HTTP-headern som standard inte att inkludera hela URL:en för källan från vilken övergången gjordes, utan endast domänen, när man byter till andra webbplatser. Sökvägen och förfrågningsparametrarna kommer att tas bort. Det vill säga, istället för "Referer: https://www.example.com/path/?arguments" kommer det att vara "Referer: https://www.example.com/". Sedan Firefox 59 har sådan rensning utförts i privat surfläge, och nu kommer den att utökas till huvudläget.

Det nya beteendet kommer att bidra till att förhindra att onödiga användardata överförs till annonsnätverk och andra externa resurser. Vissa medicinska webbplatser nämns som ett exempel, där tredje part kan få konfidentiell information, såsom patientens ålder och diagnos, under visningen av annonser. Samtidigt kan borttagning av information från Referer negativt påverka insamlingen av statistik om övergångar av webbplatsägare, som nu inte kommer att kunna fastställa adressen till föregående sida korrekt, till exempel för att förstå från vilken artikel övergången gjordes. Funktionen hos vissa dynamiska innehållsgenereringssystem som analyserar nycklarna som ledde till övergången från sökmotorn kan också störas.

HTTP-headern Referrer-Policy används för att styra inställningen för refereraren, vilket gör det möjligt för webbplatsägare att åsidosätta standardbeteendet för övergångar från sin webbplats och returnera indikationen på fullständig information i refereraren. För närvarande är standardpolicyn "no-referrer-when-downgrade", där refereraren inte skickas vid växling från HTTPS till HTTP, utan överförs i sin helhet när resurser laddas över HTTPS. Från och med Firefox 87 kommer policyn "strict-origin-when-cross-origin" att gälla, vilket innebär att sökvägar och parametrar klipps bort när en begäran skickas till andra värdar vid åtkomst via HTTPS, att refereraren tas bort vid växling från HTTPS till HTTP och att hela refereraren överförs för interna övergångar inom en enda webbplats.

Ändringen kommer att gälla vanliga navigeringsförfrågningar (länkklick), automatiska omdirigeringar och vid laddning av externa resurser (bilder, CSS, skript). Chrome bytte till "strict-origin-when-cross-origin" som standard förra sommaren.

Källa: opennet.ru