Referrer Policy

Referrer Policy

Der Begriff 'Referrer' im Zusammenhang mit dem Internet bezeichnet jene Webseite, von welcher der Besucher einer Seite gekommen ist. Der Referrer ist also die im Logfile ersichtliche, zuvor besuchte URL. Entsprechende Informationen werden über den HTTP-Header abgefragt und weitergegeben und in einem Logfile gespeichert. Eine detaillierte Beschreibung des Begriffes finden Sie bei Wikipedia unter Referrer.

Mit dem Eintrag Referrer Policy im Header wird geregelt, welche der Referrer-Informationen, die im Referrer-Header gesendet wurden, in Anfragen aufgenommen werden sollen und welche nicht. Es gibt sehr viele verschiedene Optionen, die gesetzt werden können. Neben Firefox unterstützen Chrome und Opera bereits einige Optionen dieses Header-Eintrages. Aktuell handelt es sich bei diesen Header-Einträgen um einen Empfehlungskandidaten des W3C vom 26.01.2017. In dem zuvor verlinkten Dokument werden die einzelnen Möglichkeiten genau beschrieben. Eine gut gesetzte Referrer Policy schützt die Privatsphäre Ihrer Webseiten-Besucher, hat aber keinen Einfluss auf die Sicherheit Ihrer Webseite.

Beispiele

# Referrer Policy
Header set Referrer-Policy "origin-when-cross-origin"

Anweisung: Sende die vollständige Referrer-URL nur, wenn du auf der selben Domain bleibst. Sobald HTTPS verlassen oder eine anderer Domain angesprochen wird, sende nur die Quell-Domain.

Nützliche Anweisungen können `no-referrer`, `same-origin` oder `strict-origin`.

Der Wert `no-referrer` weist den Browser an, niemals Referrer-Header zu senden, die von Ihrer Site gestellt werden. Dazu gehören auch Links zu Seiten auf Ihrer eigenen Site.

Der Wert `same-origin` weist den Browser an, nur Referrer-Header zu senden, die von Ihrer Site gestellt werden. Wenn das Ziel eine andere Domain ist, werden keine Referrer-Informationen gesendet.

Der Wert `strict-origin` weist den Browser an, als Referrer immer die Ursprungs-Domain anzugeben.

Detaillierte Informationen und Beispiele (English) finden Sie bei Scott Helme.