Você pode facilmente saber que 100 pessoas do Twitter acessaram o seu website, simplesmente vendo o Referer
enviado pelo cliente, note que o Twitter não utiliza o Referrer-Policy
e nem o content-security-policy
especifica o Referrer
.
Sem a utilização deste recurso qualquer usuário irá enviar o Referer:
, imagine que o seu website é https://website.com
, nele possui um URL para https://blog.com
.
Sempre que o usuário clicar em https://blog.com
irá enviar:
Referer: https://website.com
Isto indica que o outro site sabe que aquela pessoa veio do seu website, porém em alguns casos você consegue mais informações, por exemplo:
Referer: https://website.com/admin/monitorar_comentario/123
Sabemos que você é um administrador do website.com
e que estava monitorando um comentário onde escrevi o URL do https://blog.com
, que você clicou. Em outros casos dados mais sensíveis pode está presente do URL.
Valores:
Você pode configurar o Referrer Policy
de várias maneiras:
+----------------------------+----------------------------+----------+
| De | Para | Referrer |
+----------------------------+----------------------------+----------+
| https://website.com/post1/ | http://website.com/post2/ | NULO |
| https://website.com/post1/ | https://website.com/post2/ | NULO |
| http://website.com/post1/ | http://website.com/post2/ | NULO |
| http://website.com/post1/ | http://outro-site.com | NULO |
| http://website.com/post1/ | https://outro-site.com | NULO |
| https://website.com/post1/ | http://outro-site.com | NULO |
+----------------------------+----------------------------+----------+
no-referrer-when-downgrade:
Removerá o Referer
apenas se ocorrer um downgrade de procolo, se for de HTTPS para HTTP. Porém, se for de um HTTP para HTTP(S) irá enviar normalmente, ou seja tanto HTTP -> HTTPS
quanto HTTP -> HTTP
e HTTPS -> HTTPS
enviará normalmente, somente HTTPS -> HTTP
que não enviará.
+----------------------------+----------------------------+----------------------------+
| De | Para | Referrer |
+----------------------------+----------------------------+----------------------------+
| https://website.com/post1/ | http://website.com/post2/ | NULO |
| https://website.com/post1/ | https://website.com/post2/ | https://website.com/post1/ |
| http://website.com/post1/ | http://website.com/post2/ | http://website.com/post1/ |
| http://website.com/post1/ | http://outro-site.com | http://website.com/post1/ |
| http://website.com/post1/ | https://outro-site.com | http://website.com/post1/ |
| https://website.com/post1/ | http://outro-site.com | NULO |
+----------------------------+----------------------------+----------------------------+
+----------------------------+----------------------------+----------------------------+
| De | Para | Referrer |
+----------------------------+----------------------------+----------------------------+
| https://website.com/post1/ | http://website.com/post2/ | NULO |
| https://website.com/post1/ | https://website.com/post2/ | https://website.com/post1/ |
| http://website.com/post1/ | http://website.com/post2/ | http://website.com/post1/ |
| http://website.com/post1/ | http://outro-site.com | NULO |
| http://website.com/post1/ | https://outro-site.com | NULO |
| https://website.com/post1/ | http://outro-site.com | NULO |
+----------------------------+----------------------------+----------------------------+
+----------------------------+----------------------------+---------------------+
| De | Para | Referrer |
+----------------------------+----------------------------+---------------------+
| https://website.com/post1/ | http://website.com/post2/ | https://website.com |
| https://website.com/post1/ | https://website.com/post2/ | https://website.com |
| http://website.com/post1/ | http://website.com/post2/ | http://website.com |
| http://website.com/post1/ | http://outro-site.com | http://website.com |
| http://website.com/post1/ | https://outro-site.com | http://website.com |
| https://website.com/post1/ | http://outro-site.com | https://website.com |
+----------------------------+----------------------------+---------------------+
+----------------------------+----------------------------+---------------------+
| De | Para | Referrer |
+----------------------------+----------------------------+---------------------+
| https://website.com/post1/ | http://website.com/post2/ | NULO |
| https://website.com/post1/ | https://website.com/post2/ | https://website.com |
| http://website.com/post1/ | http://website.com/post2/ | http://website.com |
| http://website.com/post1/ | http://outro-site.com | http://website.com |
| http://website.com/post1/ | https://outro-site.com | http://website.com |
| https://website.com/post1/ | http://outro-site.com | NULO |
+----------------------------+----------------------------+---------------------+
origin-when-cross-origin:
Aplicará o origin
se o destino for um website externo, se não irá enviar o Referrer
normalmente.
+----------------------------+----------------------------+----------------------------+
| De | Para | Referrer |
+----------------------------+----------------------------+----------------------------+
| https://website.com/post1/ | http://website.com/post2/ | https://website.com/post1/ |
| https://website.com/post1/ | https://website.com/post2/ | https://website.com/post1/ |
| http://website.com/post1/ | http://website.com/post2/ | http://website.com/post1/ |
| http://website.com/post1/ | http://outro-site.com | http://website.com |
| http://website.com/post1/ | https://outro-site.com | http://website.com |
| https://website.com/post1/ | http://outro-site.com | https://website.com |
+----------------------------+----------------------------+----------------------------+
strict-origin-when-cross-origin:
Mesmo caso o strict-origin
, ele faz exatamente o que o origin-when-cross-origin
faz, porém se houver downgrade (de HTTPS para HTTP) ele removerá o Referer
.
+----------------------------+----------------------------+----------------------------+
| De | Para | Referrer |
+----------------------------+----------------------------+----------------------------+
| https://website.com/post1/ | http://website.com/post2/ | NULO |
| https://website.com/post1/ | https://website.com/post2/ | https://website.com/post1/ |
| http://website.com/post1/ | http://website.com/post2/ | http://website.com/post1/ |
| http://website.com/post1/ | http://outro-site.com | http://website.com |
| http://website.com/post1/ | https://outro-site.com | http://website.com |
| https://website.com/post1/ | http://outro-site.com | NULO |
+----------------------------+----------------------------+----------------------------+
Uma pergunta que pode fazer, porque tanta preocupação se é ou não um HTTP ou HTTPS? Varias funções tem como simples objetivo remover o Referer
se for de HTTPS para HTTP, algumas outras (stric-*
) fazem questão de não enviar sobre o HTTP. A verdade é que o HTTP não é criptografado e por isto qualquer um poderá saber qual a página você estava acessando. Se você estava em https://a.com/b/c/d
ao clicar para http://evil.com
poderá neste momento deixar claro, em texto-plano, o que você estava acessando.
Recomendações:
Se deseja garantir uma maior "anonimidade" utilize no-referer
, geralmente é o que uso. Porém o referer
pode ser importante por isso experimente utilizar o strict-origin-when-cross-origin
. Caso acredite não ter informações sensíveis no URL pode utilizar o no-referrer-when-downgrade
, apenas para não vazar o Referer
para outras pessoas, uma vez que é HTTP.
Você também pode enviar diferentes Referrer-Policy
baseado no DNT
, o DNT
é o Do Not Track
enviado pelo usuário, ele tem o objetivo não ser rastreado, portanto você pode também envia-lo como resposta no-referer
para garantir que o seu sistema não vai monitora-lo desta maneira.
Você, como usuário, também pode utilizar extensões para remover o Referer
em qualquer caso, "independente do programador", assim como bloquear algumas conexões como GoogleAnalitycs, ChartBeats e Clicky, e habilitar o DNT
.
Lembrando que o cabeçalho de content-security-policy
já possui recursos semelhantes e possui maior poder de controle, como limitar conexões feitas no website (evitar XSS) e ainda limitar as conexões baseada no elemento (ou seja forms
são diferentes de fonts
que é diferente de img
...) e também enviar uma hash do arquivo para evitar que seja alterado maliciosamente. Ele também permite definir o Referrer
.