Referrer-Policy

Nagłówek Referrer-Policy to parametr monitoringu stron internetowych, który sprawdza, czy odpowiedź serwera zawiera nagłówek Referrer-Policy. Pomiar kończy się jednym z trzech wyników: nagłówek obecny, brak nagłówka albo nie udało się pobrać odpowiedzi. Nagłówek określa, ile informacji o stronie źródłowej przeglądarka umieszcza w nagłówku Referer żądań wychodzących z dokumentu ^[2].

Jak działa

Nagłówek Referer zawiera adres strony, z której wyszło żądanie: przejście po odnośniku albo pobranie obrazu czy skryptu ^[4]. Polityka decyduje, czy trafi do niego pełny adres, samo pochodzenie, czyli adres bez ścieżki i zapytania, czy nic ^[1]. Przed wysłaniem przeglądarka zawsze usuwa z adresu fragment oraz nazwę użytkownika i hasło, a adres dłuższy niż 4096 znaków skraca do pochodzenia ^[1].

Politykę ustawia nagłówek HTTP, element meta o nazwie referrer, atrybut referrerpolicy na odnośnikach, obrazach, ramkach i elementach link albo relacja rel="noreferrer" ^{[1] [2]}. Gdy strona nie ustawia żadnej polityki, obowiązuje domyślna strict-origin-when-cross-origin ^[1]. Chrome przyjął ją w wersji 85 w 2020 roku; wcześniej powszechną wartością domyślną było no-referrer-when-downgrade ^[3]. Polityka ustawiona przez stronę ma pierwszeństwo przed domyślną ^[3].

RYS. 1.1Co trafia do nagłówka Referer

Standardy i specyfikacje

• Referrer Policy (W3C WebAppSec) definiuje osiem wartości oraz pusty łańcuch, który oznacza brak polityki i przejście do polityki nadrzędnej albo domyślnej ^[1]. Wersja kandydująca opublikowana w 2017 roku jako zachowanie domyślne wskazywała jeszcze no-referrer-when-downgrade ^[8].
• MDN podaje strict-origin-when-cross-origin jako politykę stosowaną, gdy żadnej nie określono albo wartość jest nieprawidłowa ^[2].
• OWASP zaleca jawne ustawienie strict-origin-when-cross-origin i uzasadnia to tym, że współczesne przeglądarki domyślnie przestały wysyłać obcym serwisom ścieżkę i zapytanie ^[6].
• Pisownia. W nagłówku HTTP i elemencie meta wartość zapisuje się jako no-referrer, z myślnikiem, a w atrybucie rel jako noreferrer, bez myślnika ^[2]. Chrome, zapowiadając zmianę wartości domyślnej, odnotował, że większość przeglądarek zmierza w podobnym kierunku ochrony prywatności ^[3].

Zagrożenia i skutki

Tokeny w adresach. OWASP opisuje ujawnienie danych przez parametry adresu: nazwy użytkowników, hasła i tokeny w URL trafiają m.in. do nagłówka Referer, logów serwera, historii i pamięci podręcznej przeglądarki, a samo HTTPS tego nie rozwiązuje ^[5]. MDN podaje przykład strony resetu hasła z odnośnikiem do serwisu społecznościowego w stopce: po kliknięciu serwis może otrzymać adres resetu i wykorzystać zawarte w nim informacje ^[4]. Specyfikacja zastrzega, że kontrola nad nagłówkiem pomaga chronić adresy uprawniające, ale sama nie zapobiega wszystkim wyciekom ^[1].

RYS. 1.2Adres z tokenem trafia do obcego serwisu

Treści zewnętrzne. Nagłówek nie towarzyszy tylko kliknięciom. Informację o stronie źródłowej dostają też osadzone obrazy i widżety serwisów społecznościowych ^[4]. Dla elementów szczególnie narażonych MDN zaleca atrybut referrerpolicy="no-referrer" albo relację rel="noreferrer", a dla całego dokumentu element meta z polityką no-referrer ^[4].

Dane osobowe. Dane osobowe to wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie, np. adres e-mail, adres IP albo identyfikator z pliku cookie ^[7]. Dane pseudonimizowane, które pozwalają ponownie zidentyfikować osobę, pozostają danymi osobowymi w rozumieniu RODO ^[7]. OWASP przytacza przypadek logowania, w którym parametry adresu zawierały jednorazowy kod i adres e-mail użytkownika ^[5]. MDN zaleca, by nie umieszczać danych wrażliwych w adresach, przesyłać je metodą POST i usuwać treści zewnętrzne ze stron logowania, płatności i resetu hasła ^[4].

Brak nagłówka to nie pełny wyciek. Bez polityki strony przeglądarka stosuje domyślną: obcym serwisom wysyła samo pochodzenie, a pełny adres tylko w obrębie tego samego pochodzenia ^{[3] [6]}. Ścieżka i zapytanie trafiają więc nadal do zasobów z tego samego pochodzenia ^[3]. Pełny adres wycieka do obcych serwisów przy starszej domyślnej no-referrer-when-downgrade albo przy polityce jawnie liberalnej ^[2].

Polityki liberalne. Wartość unsafe-url wysyła pełny adres niezależnie od bezpieczeństwa połączenia, co MDN oznacza jako ujawnianie informacji wrażliwych ^[2]. Wartości origin, origin-when-cross-origin i unsafe-url mogą ujawniać informacje przez połączenia nieszyfrowane ^[8].

Przykłady

Tabela zestawia zawartość nagłówka Referer przy żądaniu wychodzącym ze strony HTTPS ^{[1] [2]}.

Polityka	To samo pochodzenie	Obce pochodzenie, HTTPS	Cel po HTTP
no-referrer	nic	nic	nic
same-origin	pełny URL	nic	nic
origin	pochodzenie	pochodzenie	pochodzenie
strict-origin	pochodzenie	pochodzenie	nic
origin-when-cross-origin	pełny URL	pochodzenie	pochodzenie
strict-origin-when-cross-origin (domyślna)	pełny URL	pochodzenie	nic
no-referrer-when-downgrade	pełny URL	pełny URL	nic
unsafe-url	pełny URL	pełny URL	pełny URL