Firefox stript vanaf nu Referrers

Toegevoegd door - Ariën -, 4 jaar geleden

De nieuwste versie van Firefox, die pas uitgekomen is, zal de HTTP Referrer deels strippen om het lekken van gevoelige gebruikersgegevens te voorkomen. Zodra internetgebruikers in hun browser op een link klikken zorgt de HTTP Referrer header ervoor dat de nieuw geopende website de locatie ziet waarvandaan de bezoeker precies afkomstig is. Helaas vormt deze header een privacy-risico die ook gebruikt kan worden voor het verzamelen van analytische gebruikersdata.

Referrers bij HTTP en HTTPS
Om websites meer controle te geven over hoeveel informatie er via de Referer header wordt meegestuurd is er een Referrer Policy ingevoerd. Standaard gebruiken browsers al een tijdje de 'no-referrer-when-downgrade policy' header die ervoor zorgt dat de referrer gestript wordt wanneer gebruikers van een https-site naar een http-site gaan. Is dit niet het geval, dan wordt de volledige url, en dus ook het 'query-path' meegegeven.

Cross-origin
Omdat deze header niet meer van de tijd is heeft Mozilla vanaf Firefox 87 een 'strict-origin-when-cross-origin' policy als header geimplementeerd. Wanneer een gebruiker dan op een link naar een andere website klikt zullen path en query-informatie niet meer worden meegestuurd. Dit geldt voor alle aanvragen vanaf een andere URL (ook cross-origin genoemd).

Gebruik van referrer in PHP
De referrer kan in PHP worden uitgelezen met deze variabele: $_SERVER['HTTP_REFERER']. Wel is het zo dat deze waarde aan de andere kant eenvoudig te manipuleren is, waardoor er niet kan worden vertrouwd op de juiste URL.