Defaults.Exposed › Parandused › Referrer-Policy

Kuidas parandada Referrer-Policy

Referrer-Policy on üherealine juhis, mille teie veebisait annab igale külastaja brauserile, kontrollides, kui palju teie veebiaadressist kaasatakse, kui nad mõnele teisele saidile klõpsavad. Ilma selleta antakse järgmisele saidile vaikselt teada täielik aadress mis tahes leheküljest, kus nad viibisid — otsinguterminid, kontonumbrid, lähtestamislingid, sisemised lehekülje teed ja kõik muu — sealhulgas reklaamijad, analüütikafirmad ja kõikjal mujal, kuhu link osutab.

Põhijareldus sinu ettevõttele: Iga kord, kui külastaja klõpsab väljamineval lingil, reklaamil või jagatud ressursil, saab nende brauser anda teie lehekülje täieliku aadressi sihtkohale — ja kui teie aadressid kannavad otsingutermineid, kliendi ID-sid, tellimuste numbreid või ühekordseid linke, lekitate kliendi andmeid kolmandatele osapooltele, keda te ei kontrolli. See on andmekaitseprobleem, mida regulaatorid võtavad tõsiselt, vaikselt rikutud privaatsusela lubadus ja hindamisel olev lünk, mille kliendi turvameeskond märgib hoolsuskontrolli ajal.

Mida see sulle maksab

• Klient täidab vormi või teeb otsingu, seejärel klõpsab väljamineval lingil või reklaamil — ja lehekülje aadress, koos kõigega, mida nad kirjutasid, antakse otse reklaamijale või analüütikafirmale, kellega te seda kunagi jagada ei kavatsenud.
• Parooli lähtestamise ja konto kinnitamise lingid kannavad mõnikord saladusliku märgendi veebiaadressis; ilma selle päiseta võib mis tahes lingil klõpsamine sellel lehel anda kogu aadressi — koos märgendiga — välissaidile.
• Privaatsed sisemised lehekülje teed (administraatorialade, ainult klientidele mõeldud lehtede, hinnakujundustasemete, dokumendilingid) avalikustatakse igale kolmandale osapoolele, kellele teie külastajad edasi klõpsavad, andes konkurentidele ja luurajatele tasuta kaardi teie saidist, mida nad ei peaks kunagi nägema.
• Kliendi turvaülevaade või privaatsusaudit skannib teie saiti, näeb, et Referrer-Policy puudub, ja logib seda andmete minimeerimise ebaõnnestumisena — just seda tüüpi leid peatab lepingu või sertifitseerimise.
• Isikuandmed jõuavad töötlejate kätte, kellega teil pole lepingut, muutes viis minuti järelevalvematuse teatamiskohustuslikuks andmekaitserikkumiseks.

Miks see on oluline. Brauserid, kui neile jäetakse vabad käed, on jutukad: vaikimisi ütlevad nad järgmisele veebisaidile, kust külastaja just tuli, sealhulgas sageli lehekülje täielik aadress. Lihtsas brošüürisaidis võib see olla kahjutu, kuid niipea kui teie aadressid sisaldavad midagi isiklikku — otsingutermini, tellimuse ID, meili lingis, privaatse tee — lekib see vaikimisi käitumine välispooltele. Referrer-Policy on üks seadistus, mis ütleb brauseritele jagamise lõpetada. See on hindamisel olev kontroll teie tulemuskaardil, mis on väärt reaalpunkte, see vastab otseselt privaatsusseaduse andmete minimeerimise kohustusele ja on üks standardsetest turbe päistest, mida iga professionaalne ülevaatamine leiab olevat kohal.

Mis see on lihtsas keeles

Iga kord, kui teie veebisaidil olev külastaja klõpsab lingile teisele saidile — väljaminev link, reklaambänner, “jaga seda”, isegi font või pilt laaditud mujalt — lisab nende brauser vaikselt märkuse, öeldes, milliselt teie lehelt nad tulid. Seda märkust nimetatakse referrer-iks.

Mõistlikult kasutades on referrer kahjutu ja isegi kasulik: just nii teavad teised saidid, et liiklus tuli teie poolt, ning see toetab palju ausat analüütikat. Probleem on vaikimisi käitumises. Hallatult ütleb brauser mitte ainult “nad tulid teie-ettevõte.com-ist” — sageli annab see üle täieliku aadressi täpsest lehest, sealhulgas kõik domeeni nime järel. Ja veebiaadressid kannavad palju rohkem, kui inimesed mõistavad: otsinguterminid teie saidile kirjutatud, tellimuste ja kontonumbrid, tee privaatsele ainult liikmetele mõeldud lehele, isegi ühekordsed saladusliku märgendiga parooli lähtestamise ja kinnitamise linkides.

Referrer-Policy on üks juhis, mille teie veebisait saadab brauserile, öeldes, kui palju sellest märkusest jagada lubatud on. Võite käskida sel jagada ainult teie domeeninime, ainult teiste teie enda saidi lehtedega, või mitte midagi üldse. Mõelge sellest kui vahest kõigile täieliku koduaadressi ja päevakavaga üle andmise ning lihtsalt neile linna nimetamise vahel.

See on väike perekond “turbe päiseid” — lühijuhised, mille teie sait annab igale külastaja brauserile. See ei muuda seda, kuidas teie sait näeb välja või töötab. See lihtsalt takistab brauserit teie nimel liiga palju jagamast.

Mida see võib teile maksma minna

Siin on konkreetsed, igapäevased viisid, kuidas puuduv või lubav Referrer-Policy pärisettevõtteid hammustab. Ükski neist ei nõua häkkerit — need juhtuvad automaatselt, iga päev, tavakasutuses.

• Lekkinud otsing. Klient otsib teie saidilt midagi tundlikku — meditsiinilist toodet, võlaga seotud teenust, konkurendi võrdlust — ja otsingusõna maandub lehekülje aadressis. Seejärel klõpsavad nad sellelt tulemuste lehelt väljamineval lingil või reklaamil. Reklaamija saab nüüd teie aadressi koos otsingusõnaga selles, teades täpselt, mida teie klient otsis. Te pole kunagi nõustunud seda jagama, ning te ei saa seda tagasi võtta.

• Paljastatud lähtestamislink. Paljud süsteemid paigutavad saladusliku ühekordsuse märgendi parooli lähtestamise, meili kinnitamise või “maagilise sisselogimise” lehtede aadressidesse. Kui see leht sisaldab mis tahes väljaminevat linki või kolmanda osapoole ressurssi, saab täielik aadress — koos märgendiga — anda välissaidile. Halvimal juhul annab see kolmandale osapoolele võtmed kontole.

• Tasuta annetud saidijuht. Teie sisemised lehekülje teed paljastavad sageli teie struktuuri: /admin, /enterprise-hinnastamine, /kliendid/firma, /allalaadimised/privaatne-aruanne. Ilma selle päiseta saavad kõik välissaidid, kuhu teie külastajad edasi klõpsavad, need teed kätte. Konkurendid õpivad teie hinnakujundustasemeid ja tooteliiue; kraapijad õpivad, milliseid lehti sihtida.

• Soovimatu andmejagamise suhe. Privaatsusõigus ootab teilt teada, kelle juurde lähevad teie klientide isikuandmed ja et teil on kokkulepe paigas. Lehekülje aadresside lekitamine, mis sisaldavad kliendi ID-sid või meiliaadresse, reklaamivõrkudele ja analüütikafirmadele — ilma kokkuleppe ja nõusolekuta — on täpselt selline kontrollimata andmevoog, mis muudab rutiinse auditi leiuks ja leiu teatamiskohustuslikuks rikkumiseks.

• Tehing, mis peatub hoolsuskontrollis. Kui suurema kliendi turvameeskond teid üle vaatab, on standardsete turbe päiste puudumine kiire, automaatne linnuke. Referrer-Policy puudumine ütleb neile, et põhiline privaatsuse hügieen polnud kunagi seadistatud — ja see mulje värvib kõike muud ülevaatuses.

Mis see tegelikult on

Vaikimisi järgivad brauserid käitumist, mis on laias laastus samaväärne “strict-origin-when-cross-origin”-ga kaasaegsetes versioonides — kuid te ei saa sellele tugineda, sest vanemad brauserid, manustatud veebikuvad ja teatud konfiguratsioonid langevad ikka tagasi rohkem lekitamise. Ainus viis kindel olla on poliitika selgesõnaliselt seada. Kui te seda teete, valite ühe reegli lühikesest nimekirjast. Need, mis loevad:

• no-referrer — ärge jagake midagi. Järgmisele saidile ei öelda midagi sellest, kust külastaja tuli. Maksimaalne privaatsus; võib summutada teie suunamise analüütikat.
• same-origin — jagage täielik aadress ainult siis, kui külastaja liigub lehtede vahel teie enda saidil; ärge jagake midagi välissaitidega.
• strict-origin-when-cross-origin — soovitatav vaikimisi seadistus. Teie enda saidil jagatakse täielik tee; välissaitidele jagatakse ainult teie tühi domeeninimetus (ja turvalise lehekülje ja ebaturvalise vahel minna üritades mitte midagi üldse). Välisosapooled saavad teada, et liiklus tuli teilt, kuid mitte kunagi privaatseid üksikasju pärast teie domeeni.
• origin — jagage alati ainult teie domeeninimetus, isegi teie enda saidi sees.

Ja kaks väärtust, mida vältida, sest tulemuskaart käsitleb neid mitte paremana kui päis üldse puuduks:

• unsafe-url — jagage täielik aadress kõigiga, alati. See on üks halveimal juhtumil sõna.
• no-referrer-when-downgrade — vana brauseri vaikimisi seadistus; see saadab ikka täieliku aadressi teistele turvalistele saitidele, lekkides kõike eelpool kirjeldatut.

Mis näeb välja “hea”: Referrer-Policy päis on olemas ja seatud piiravale väärtusele — enamiku ettevõtete jaoks strict-origin-when-cross-origin. See hoiab suunamise analüütika töötavana, tagades et midagi pärast teie domeeninimest ei jõua kunagi välissaidile.

Kuidas seda parandada (tasuta, umbes 5 minutit)

Andke see jaotis oma IT-inimesele, veebiarendajale või hostiteenuse toele — parandus on tasuta, see on üks rida, ning see ei lõhu teie saiti. Siin pole riskantset juurutamist: erinevalt mõnest turbeseadistusest ei saa mõistlik Referrer-Policy teie linke ega lehekülgi töötamast peatada. See lihtsalt kärpib seda, mis teiste saitidega jagatakse.

Eesmärk: seada Referrer-Policy vastuse päis väärtusega strict-origin-when-cross-origin (või rangema väärtusega, kui eelistate vähem jagada).

Cloudflare (koodita — lihtsaim, kui seda kasutate): Armatuurlaud → teie domeen → Reeglid → Muutmisreeglid → Muutke vastuse päist → Loo reegel → Seadke staatiline → Päise nimi Referrer-Policy, väärtus strict-origin-when-cross-origin → rakendage kõikidele sissetulevatele päringutele → Juuruta.

Google Workspace / Microsoft 365: need haldavad teie meili, mitte teie veebisaiti, nii et päis on seadistatud kus iganes teie sait tegelikult asub (teie veebihost, CDN või server) — mitte Workspace-is ega 365 administraatoris. Tuvastage host ja kasutage allpool vastavat valikut.

Nginx:

add_header Referrer-Policy "strict-origin-when-cross-origin" always;

Apache (saidi konfiguratsioonis või .htaccess-is):

Header always set Referrer-Policy "strict-origin-when-cross-origin"

IIS (web.config):

<httpProtocol><customHeaders>
  <add name="Referrer-Policy" value="strict-origin-when-cross-origin" />
</customHeaders></httpProtocol>

Node / Express:

app.use((req, res, next) => { res.setHeader('Referrer-Policy', 'strict-origin-when-cross-origin'); next(); });

WordPress / levinud hostid: enamik hallatud WordPress-i ja jagatud hoste lubab vastuse päiseid lisada kas turvapistikprogrammi, hostimise juhtpaneeli “päised” paneeli kaudu või ülaloleva .htaccess lõigu kaudu. Kui olete Cloudflare’i taga, on Cloudflare’i meetod puhtaim ja rakendub kõikjale korraga.

Pärast rakendamist: laadige sait ja käivitage kontroll uuesti, või kasutage brauseri arendustööriistu (Võrgu sakk → klõpsake põhidokumendil → Vastuse päised) kinnitamaks, et Referrer-Policy: strict-origin-when-cross-origin on kohal.

Levinud vead

• Lubava väärtuse seadmine ja eeldamine, et see loeb. unsafe-url ja no-referrer-when-downgrade lekivad mõlemad ikka täieliku aadressi. Tulemuskaart hindab need nulliga — identne päise puudumisega. Kui päis on olemas, kuid punkte pole, on see peaaegu alati põhjus.
• Seadistamine ainult avalehele. Päis peaks saadetama igale lehele, sest lekked juhtuvad otsingutulemuste, konto- ja lähtestamislehtedel — mitte avalehel. Seadke see serveri, CDN-i või Cloudflare’i tasemel, et see rakendub automaatselt kogu saidile.
• Seadistamine ainult HTML <meta> siltide kaudu. <meta name="referrer"> silt töötab mõnel juhul, kuid mitte kõigil, ning lehtede vahel on kergesti ebajärjekindel. Korraliku vastuse päisena seadistamine (ülalpool toodud meetodid) on usaldusväärne lähenemine.
• Ühe kihi laskmise teise üle kirjutada. Kui nii teie päritoluserver kui ka teie CDN seavad päise erinevate väärtustega, võib tulemus olla ettearvamatu. Valige üks koht selle haldamiseks — tavaliselt CDN või Cloudflare, kui teil see on — ja hoidke ülejäänu järjekindlana.
• Käsitlemine andmete URL-idest väljahoidmise asendajana. Päis piirab kahju, kuid puhtam pikaajaline harjumus on mitte paigutada saladusi ja isikuandmeid üldse veebiaadressidesse. Kasutage päist nüüd; tõstatage URL-i hügieen oma arendajaga järelmeetmena.

Seotud päiste lühimärkus

Referrer-Policy istub koos väikese hulga teiste veebiturvalisuse päistega, mida me kontrollime — Content-Security-Policy, X-Frame-Options, X-Content-Type-Options ja mõned täiustatud ristpäritolu päised. Need kaitsevad erinevaid asju, nii et ühe olemasolu ei kata teisi. Kui teie Referrer-Policy puudub, on see väärt, et kes iganes seda parandab kinnitab, et teised standardsed päised on samal ajal paigas, kuna need konfigureeritakse tavaliselt samas ühes kohas ning külastus ei maksa midagi lisaks.

KKK