14

Estava fazendo alguns testes usando navegador Opera (mesmo motor/engine do Chrome) e na requisição HTTP é enviado isto:

Referrer Policy: no-referrer-when-downgrade

Por exemplo em http://localhost recebo isto:

Request URL: http://localhost/
Request Method: GET
Status Code: 200 OK
Remote Address: [::1]:80
Referrer Policy: no-referrer-when-downgrade

Em um servidor sem HTTPS:

Request URL:http://pt.stackoverflow.com/
Request Method: GET
Status Code: 200 OK
Remote Address: 151.101.65.69:80
Referrer Policy: no-referrer-when-downgrade

Em um servidor com HTTPS:

Request URL:https://www.reddit.com/r/stackunderflow/
Request Method:GET
Status Code:200 
Remote Address:151.101.93.140:443
Referrer Policy:unsafe-url

Em outro servidor com HTTPS recebi isto:

Request URL:https://pt.meta.stackoverflow.com/
Request Method:GET
Status Code:200 
Remote Address:151.101.193.69:443
Referrer Policy:no-referrer-when-downgrade

E as vezes recebo isto:

Referrer Policy:origin

A minha duvida além do significado de cada uma e possíveis valores é saber qual o efeito disto para o servidor que recebe a requisição (ou efeito esperado), ou isto tem algum efeito no navegador também?

1 Resposta 1

24
+50

Você pode facilmente saber que 100 pessoas do Twitter acessaram o seu website, simplesmente vendo o Referer enviado pelo cliente, note que o Twitter não utiliza o Referrer-Policy e nem o content-security-policyespecifica o Referrer.

Sem a utilização deste recurso qualquer usuário irá enviar o Referer:, imagine que o seu website é https://website.com, nele possui um URL para https://blog.com.

Sempre que o usuário clicar em https://blog.com irá enviar:

Referer: https://website.com

Isto indica que o outro site sabe que aquela pessoa veio do seu website, porém em alguns casos você consegue mais informações, por exemplo:

Referer: https://website.com/admin/monitorar_comentario/123

Sabemos que você é um administrador do website.com e que estava monitorando um comentário onde escrevi o URL do https://blog.com, que você clicou. Em outros casos dados mais sensíveis pode está presente do URL.


Valores:

Você pode configurar o Referrer Policy de várias maneiras:

  • no-referrer:

    Removerá o Referer em qualquer ocasião, independente da fonte e do destino.

+----------------------------+----------------------------+----------+
|             De             |            Para            | Referrer |
+----------------------------+----------------------------+----------+
| https://website.com/post1/ | http://website.com/post2/  | NULO     |
| https://website.com/post1/ | https://website.com/post2/ | NULO     |
| http://website.com/post1/  | http://website.com/post2/  | NULO     |
| http://website.com/post1/  | http://outro-site.com      | NULO     |
| http://website.com/post1/  | https://outro-site.com     | NULO     |
| https://website.com/post1/ | http://outro-site.com      | NULO     |
+----------------------------+----------------------------+----------+
  • no-referrer-when-downgrade:

    Removerá o Referer apenas se ocorrer um downgrade de procolo, se for de HTTPS para HTTP. Porém, se for de um HTTP para HTTP(S) irá enviar normalmente, ou seja tanto HTTP -> HTTPS quanto HTTP -> HTTP e HTTPS -> HTTPS enviará normalmente, somente HTTPS -> HTTP que não enviará.

+----------------------------+----------------------------+----------------------------+
|             De             |            Para            |          Referrer          |
+----------------------------+----------------------------+----------------------------+
| https://website.com/post1/ | http://website.com/post2/  | NULO                       |
| https://website.com/post1/ | https://website.com/post2/ | https://website.com/post1/ |
| http://website.com/post1/  | http://website.com/post2/  | http://website.com/post1/  |
| http://website.com/post1/  | http://outro-site.com      | http://website.com/post1/  |
| http://website.com/post1/  | https://outro-site.com     | http://website.com/post1/  |
| https://website.com/post1/ | http://outro-site.com      | NULO                       |
+----------------------------+----------------------------+----------------------------+
  • same-origin:

    Removerá o Referer se o destino for um website externo a origem ou se for o mesmo website com protocolo diferente.

+----------------------------+----------------------------+----------------------------+
|             De             |            Para            |          Referrer          |
+----------------------------+----------------------------+----------------------------+
| https://website.com/post1/ | http://website.com/post2/  | NULO                       |
| https://website.com/post1/ | https://website.com/post2/ | https://website.com/post1/ |
| http://website.com/post1/  | http://website.com/post2/  | http://website.com/post1/  |
| http://website.com/post1/  | http://outro-site.com      | NULO                       |
| http://website.com/post1/  | https://outro-site.com     | NULO                       |
| https://website.com/post1/ | http://outro-site.com      | NULO                       |
+----------------------------+----------------------------+----------------------------+
  • origin:

    Enviará apenas a origem, sem o caminho do URL, em qualquer caso.

+----------------------------+----------------------------+---------------------+
|             De             |            Para            |      Referrer       |
+----------------------------+----------------------------+---------------------+
| https://website.com/post1/ | http://website.com/post2/  | https://website.com |
| https://website.com/post1/ | https://website.com/post2/ | https://website.com |
| http://website.com/post1/  | http://website.com/post2/  | http://website.com  |
| http://website.com/post1/  | http://outro-site.com      | http://website.com  |
| http://website.com/post1/  | https://outro-site.com     | http://website.com  |
| https://website.com/post1/ | http://outro-site.com      | https://website.com |
+----------------------------+----------------------------+---------------------+
  • strict-origin:

    Identico ao origin porém não aceita downgrade de HTTPS para HTTP, logo removerá o Referer se o destino for um HTTP, se a fonte for um HTTPS.

+----------------------------+----------------------------+---------------------+
|             De             |            Para            |      Referrer       |
+----------------------------+----------------------------+---------------------+
| https://website.com/post1/ | http://website.com/post2/  | NULO                |
| https://website.com/post1/ | https://website.com/post2/ | https://website.com |
| http://website.com/post1/  | http://website.com/post2/  | http://website.com  |
| http://website.com/post1/  | http://outro-site.com      | http://website.com  |
| http://website.com/post1/  | https://outro-site.com     | http://website.com  |
| https://website.com/post1/ | http://outro-site.com      | NULO                |
+----------------------------+----------------------------+---------------------+
  • origin-when-cross-origin:

    Aplicará o origin se o destino for um website externo, se não irá enviar o Referrer normalmente.

+----------------------------+----------------------------+----------------------------+
|             De             |            Para            |          Referrer          |
+----------------------------+----------------------------+----------------------------+
| https://website.com/post1/ | http://website.com/post2/  | https://website.com/post1/ |
| https://website.com/post1/ | https://website.com/post2/ | https://website.com/post1/ |
| http://website.com/post1/  | http://website.com/post2/  | http://website.com/post1/  |
| http://website.com/post1/  | http://outro-site.com      | http://website.com         |
| http://website.com/post1/  | https://outro-site.com     | http://website.com         |
| https://website.com/post1/ | http://outro-site.com      | https://website.com        |
+----------------------------+----------------------------+----------------------------+
  • strict-origin-when-cross-origin:

    Mesmo caso o strict-origin, ele faz exatamente o que o origin-when-cross-origin faz, porém se houver downgrade (de HTTPS para HTTP) ele removerá o Referer.

+----------------------------+----------------------------+----------------------------+
|             De             |            Para            |          Referrer          |
+----------------------------+----------------------------+----------------------------+
| https://website.com/post1/ | http://website.com/post2/  | NULO                       |
| https://website.com/post1/ | https://website.com/post2/ | https://website.com/post1/ |
| http://website.com/post1/  | http://website.com/post2/  | http://website.com/post1/  |
| http://website.com/post1/  | http://outro-site.com      | http://website.com         |
| http://website.com/post1/  | https://outro-site.com     | http://website.com         |
| https://website.com/post1/ | http://outro-site.com      | NULO                       |
+----------------------------+----------------------------+----------------------------+
  • unsafe-url:

    O navegador sempre irá enviar o Referer independente de qualquer coisa.


Uma pergunta que pode fazer, porque tanta preocupação se é ou não um HTTP ou HTTPS? Varias funções tem como simples objetivo remover o Referer se for de HTTPS para HTTP, algumas outras (stric-*) fazem questão de não enviar sobre o HTTP. A verdade é que o HTTP não é criptografado e por isto qualquer um poderá saber qual a página você estava acessando. Se você estava em https://a.com/b/c/d ao clicar para http://evil.com poderá neste momento deixar claro, em texto-plano, o que você estava acessando.


Recomendações:

Se deseja garantir uma maior "anonimidade" utilize no-referer, geralmente é o que uso. Porém o refererpode ser importante por isso experimente utilizar o strict-origin-when-cross-origin. Caso acredite não ter informações sensíveis no URL pode utilizar o no-referrer-when-downgrade, apenas para não vazar o Referer para outras pessoas, uma vez que é HTTP.

Você também pode enviar diferentes Referrer-Policy baseado no DNT, o DNT é o Do Not Track enviado pelo usuário, ele tem o objetivo não ser rastreado, portanto você pode também envia-lo como resposta no-referer para garantir que o seu sistema não vai monitora-lo desta maneira.

Você, como usuário, também pode utilizar extensões para remover o Referer em qualquer caso, "independente do programador", assim como bloquear algumas conexões como GoogleAnalitycs, ChartBeats e Clicky, e habilitar o DNT.


Lembrando que o cabeçalho de content-security-policy já possui recursos semelhantes e possui maior poder de controle, como limitar conexões feitas no website (evitar XSS) e ainda limitar as conexões baseada no elemento (ou seja forms são diferentes de fonts que é diferente de img...) e também enviar uma hash do arquivo para evitar que seja alterado maliciosamente. Ele também permite definir o Referrer.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .