Wyobraź sobie, że wychodzisz z domu i zostawiasz na drzwiach karteczkę: „Byłem w banku, PIN do karty to 1234”. Przekoloryzowane ale brzmi jak proszenie się o kłopoty, prawda? W internecie nagłówek Referer działa podobnie – mówi, skąd przyszedłeś, gdy klikasz link albo wysyłasz żądanie. A Referrer-Policy to sposób, by powiedzieć: „Hej, nie zdradzaj wszystkiego!”. Dlaczego to ważne i co możesz zyskać? Sprawdźmy.
Co to jest Referrer-Policy i jak działa?
Referer (tak, z literówką w nazwie – to historyczna pomyłka:) ) to nagłówek HTTP, który automatycznie wysyła przeglądarka, informując nową stronę, skąd na nią trafiłeś (np. pełny URL poprzedniej witryny). Referrer-Policy pozwala kontrolować, ile z tych informacji przekazujesz. Przykładowe ustawienie:
Referrer-Policy: strict-origin-when-cross-originTo mówi przeglądarce: „Podawaj tylko domenę źródłową przy przejściach między stronami, a przy HTTPS zachowaj ostrożność”. Możesz wybrać jedną z wielu opcji, od pełnej otwartości po całkowite „milczenie”.
Jakie zagrożenia eliminuje?
- Wyciek danych w URL: Jeśli Twój link zawiera wrażliwe dane (np. twojastrona.pl/zaloguj?token=abc123), Referer prześle je na inną stronę – np. reklamodawcy czy trackerowi.
- Ujawnienie struktury: Pełny URL (np. twojastrona.pl/sekretny-panel-admina) może podpowiedzieć atakującym, gdzie szukać słabych punktów.
- Prywatność użytkowników: Zdradzając, skąd ktoś przyszedł, ułatwiasz profilowanie – od marketingu po coś bardziej złowrogiego.
Korzyści ze stosowania
- Ochrona prywatności: Ograniczasz, co inne strony wiedzą o Twoich użytkownikach – mniej danych w rękach trackerów.
- Bezpieczeństwo: Ukrywasz wrażliwe parametry URL, utrudniając ich wykorzystanie w atakach.
- Elastyczność: Masz pełną kontrolę – od „wszystko pokazuj” po „nic nie mów”, zależnie od potrzeb.
- Nowoczesność: To standard wspierany przez wszystkie główne przeglądarki od lat (Chrome 56+, Firefox 50+).
- Compliance: jesteś zobowiązany do utrzymywania zabezpieczeń na właściwym poziomie.
Jak to skonfigurować?
Proste jak zawsze:
- Nginx:
add_header Referrer-Policy "strict-origin-when-cross-origin" always; - Apache:
Header set Referrer-Policy "strict-origin-when-cross-origin"
Popularne opcje:
- no-referrer: Zero informacji – całkowita cisza.
- same-origin: Referer tylko w obrębie tej samej domeny.
- strict-origin-when-cross-origin: Domena źródłowa przy przejściach między stronami, ale tylko HTTPS przy HTTPS.
Potencjalne pułapki
- Zbyt restrykcyjne ustawienia: no-referrer może zepsuć analitykę (np. Google Analytics nie zobaczy źródła ruchu).
- Brak domyślnego wsparcia: Bez Referrer-Policy przeglądarka stosuje własną logikę (zwykle no-referrer-when-downgrade), co nie zawsze jest bezpieczne.
- Testowanie: Sprawdź, czy Twoje integracje (np. płatności, reklamy) nie wymagają Referera – inaczej coś może się posypać.
Przykład z życia
W 2019 roku popularny sklep online miał wyciek tokenów sesji, bo Referer przekazywał pełne URL-e z parametrami na zewnętrzne strony reklamowe. Atakujący zebrali dane i przejęli konta klientów. Z Referrer-Policy: no-referrer albo origin problem by nie istniał – mniej informacji, mniej kłopotów.
Dlaczego warto zacząć już dziś?
Referrer-Policy to jak ustawienie prywatności w telefonie – mała inwestycja czasowa, a kontrolujesz, co wychodzi na świat. Niezabezpieczona strona może niechcący zdradzić za dużo, a Ty nawet o tym nie wiesz. Dodaj ten nagłówek w kilka minut i zobacz, jak podnosisz poziom bezpieczeństwa i prywatności.
Twoja strona to nie tylko wizytówka – to też odpowiedzialność. Referrer-Policy to prosty krok, który pokazuje, że dbasz o szczegóły. Gotowy, by go włączyć? Sprawdź z nami, czego może brakować na drodze do dobrze zabezpieczonej witryny.
