Defaults.Exposed › Korjaukset › Referrer-Policy

Kuinka korjata Referrer-Policy

Referrer-Policy on yksirivi ohje, jonka verkkosivustosi antaa jokaisen kävijän selaimelle, halliten sitä, kuinka paljon verkkoosoitteestasi kulkee heidän mukanaan heidän klikatessa linkkiä toiselle sivustolle. Ilman sitä sivun täysi osoite – hakusanat, tilinumerot, palautuslinkit, sisäiset sivupolut ja kaikki muu – luovutetaan hiljaa seuraavalle sivustolle, mukaan lukien mainostajat, analytiikkayritykset ja minne tahansa muualle, mihin linkki osoittaa.

Lyhyesti liiketoiminnallesi: Joka kerta kun kävijä klikkaa lähtevää linkkiä, mainosta tai jaettua resurssia, heidän selaimensa voi antaa sivusi täyden osoitteen kohteelle – ja jos osoitteessasi on hakukyselyjä, asiakastunnuksia, tilausnumeroita tai kertalinkkejä, vuodat asiakastietoja kolmansille osapuolille, joita et hallitse. Se on tietosuojaongelma, jonka sääntelijät ottavat vakavasti, hiljaa rikottu yksityisyyslupaus, ja pisteytetty aukko, jonka asiakkaan tietoturvatiimi merkitsee due diligencen aikana.

Mitä tämä voi maksaa sinulle

• Asiakas täyttää lomakkeen tai suorittaa haun, sitten klikkaa lähtevää linkkiä tai mainosta – ja sivun osoite, mukaan lukien mitä he kirjoittivat, luovutetaan suoraan mainostajalle tai analytiikkayritykselle, jota et koskaan tarkoittanut jakaa sen kanssa.
• Salasanan palautus- ja tilin vahvistuslinkit kantavat joskus salaista tunnistetta verkkoosoitteessa; ilman tätä otsikkoa klikkaamalla mitä tahansa linkkiä kyseisellä sivulla voidaan välittää koko osoite – tunniste mukaan lukien – ulkopuoliselle sivustolle.
• Yksityiset sisäiset sivupolut (ylläpitoalueet, vain asiakkaille tarkoitetut sivut, hinnoittelutasot, asiakirjalinkit) paljastetaan jokaiselle kolmannelle osapuolelle, jonka kautta kävijäsi klikkaavat, antaen kilpailijoille ja uteliaille kartan sivustostasi, jota heidän ei pitäisi koskaan nähdä.
• Asiakkaan tietoturvatarkistus tai yksityisyystarkastus skannaa sivustosi, ei näe Referrer-Policya, ja kirjaa sen tietojen minimointiepäonnistumisena – löydöslaji, joka pysäyttää sopimuksen tai sertifioinnin.
• Henkilödata päätyy sellaisten käsittelijöiden käsiin, joilla ei ole sopimusta kanssasi, muuttaen viiden minuutin laiminlyönnin ilmoitettavaksi tietosuojarikkomukseksi.

Miksi tällä on merkitystä. Selaimet, jätettyinä omien laitteidensa varaan, ovat puheliaita: oletuksena ne kertovat seuraavalle sivustolle, mistä kävijä juuri tuli, usein sisältäen sivun täyden osoitteen. Pelkkää esiteensivustoa kohti tämä voi olla vaaratonta, mutta heti kun osoitteesi sisältää jotain henkilökohtaista – hakutermin, tilausnumeron, sähköpostin linkissä, yksityisen polun – tuo oletus vuotaa sen hiljaa ulkopuolisille osapuolille. Referrer-Policy on yksittäinen asetus, joka käskee selaimet lopettamaan liikajulkistamisen. Se on pisteytetty tarkistus pistekortissasi ja liittyy suoraan tietosuojalain tietojen minimointivelvollisuuksiin.

Mitä tämä on, selkokielellä

Joka kerta kun kävijä verkkosivustollasi klikkaa linkkiä toiselle sivustolle – lähtevä linkki, bannermainos, “jaa tämä”, jopa fontit tai kuvat ladattuna muualta – heidän selaimensa liittää hiljaa mukaan viestin, jossa kerrotaan, miltä sivultasi he tulivat. Tuota viestiä kutsutaan referreriksi.

Järkevästi käytettynä referrer on harmitonta ja jopa hyödyllistä: se on tapa, jolla muut sivustot tietävät, että liikenne tuli sinulta, ja se tehostaa paljon rehellistä analytiikkaa. Ongelma on oletuskäyttäytymisessä. Hallitsemattomana selain ei vain sano “he tulivat yrityksesi.fi:ltä” – se antaa usein sivun tarkan täyden osoitteen, mukaan lukien kaiken verkkotunnuksen nimen jälkeen. Ja verkkoosoitteet kantavat paljon enemmän kuin ihmiset tajuavat: sivustollesi kirjoitetut hakusanat, tilaus- ja tilinumerot, polku yksityiselle vain jäsenille tarkoitetulle sivulle, jopa kertakäyttiset salaiset tunnisteet salasanan palautuksessa ja vahvistuslinkeissä.

Referrer-Policy on yksittäinen ohje, jonka verkkosivustosi lähettää selaimelle, jossa kerrotaan, kuinka paljon tästä viestistä se saa jakaa. Voit käskeä sen jakamaan vain verkkotunnuksesi nimen, vain muille sivuillesi tai ei mitään lainkaan. Ajattele sitä erona sille, luovutatko tuntemattomalle täyden kotiosoitteesi päiväohjelmasi mukana, vs. kerrot hänelle vain missä kaupungissa asut.

Tämä on yksi pienestä perheestä “tietoturvaotsikkoja” – lyhyitä ohjeita, joita sivustosi antaa jokaisen kävijän selaimelle. Se ei muuta sivustosi ulkonäköä tai toimintaa. Se vain estää selainta liikajulkistamasta puolestasi.

Mitä tämä voi maksaa yrityksellesi

Tässä konkreettisia, arkipäiväisiä tapoja, joilla puuttuva tai salliva Referrer-Policy vahingoittaa todellisia yrityksiä. Mikään näistä ei edellytä hakkeria – ne tapahtuvat automaattisesti, joka päivä, normaalissa käytössä.

• Vuotanut haku. Asiakas etsii sivustoltasi jotain arkaluonteista – lääkevalmistetta, velkapalvelua, kilpailijan vertailua – ja hakutermi päätyy sivun osoitteeseen. He klikkaavat sitten lähtevää linkkiä tai mainosta kyseisellä tulosivulla. Mainostaja vastaanottaa nyt osoitteesi hakutermineen, oppien täsmälleen mitä asiakkaasi etsi. Et koskaan suostunut jakamaan sitä, eikä sitä voi perua.

• Paljastettu palautuslinkki. Monet järjestelmät asettavat salaisen kertakäyttöisen tunnisteen osoitteeseen salasanan palautuksessa, sähköpostivahvistuksessa tai “taikalogin” sivuilla. Jos kyseisellä sivulla on lähtevä linkki tai kolmannen osapuolen resurssi, koko osoite – tunniste mukaan – voidaan antaa ulkopuoliselle sivustolle. Pahimmassa tapauksessa se antaa kolmannelle osapuolelle tilin avaimet.

• Sivustokartta, jonka annoit pois ilmaiseksi. Sisäiset sivupolut paljastavat usein rakenteesi: /yllapito, /yrityshinnoittelu, /asiakkaat/yritys, /lataukset/yksityinen-raportti. Ilman tätä otsikkoa jokainen ulkopuolinen sivusto, jonka kautta kävijäsi klikkaavat, vastaanottaa nuo polut. Kilpailijat oppivat hinnoittelutasosi ja tuotelinjasi; kaapijat oppivat, mitkä sivut kannattaa kohdistaa.

• Ei-toivottu datanjakamissuhde. Tietosuojalaki odottaa sinun tietävän, minne asiakkaidesi henkilödata menee, ja sinulla olevan sopimus paikallaan. Sivuosoitteiden vuotaminen, jotka sisältävät asiakastunnuksia tai sähköpostiosoitteita mainosverkostoille ja analytiikkayrityksille – ilman sopimusta ja ilman suostumusta – on täsmälleen sellainen hallitsematon datavirta, joka muuttaa rutiinitarkastuksen löydökseksi, ja löydöksen ilmoitettavaksi rikkomukseksi.

• Sopimus, joka pysähtyy due diligencen kohdalle. Kun suuremman asiakkaan tietoturvatiimi tarkistaa sinut, puuttuvat vakiotietoturvaotsikot ovat nopea, automatisoitu rastila. Referrer-Policyn puuttumisen näkeminen kertoo heille, että perus yksityisyyshygienia ei ole koskaan asetettu – ja tuo vaikutelma värittää kaiken muun tarkistuksessa.

Mitä se oikeasti on

Oletuksena selaimet seuraavat käyttäytymistä, joka on likimain vastaava kuin “strict-origin-when-cross-origin” nykyaikaisissa versioissa – mutta et voi luottaa siihen, koska vanhat selaimet, upotettuja webviewejä ja tietyt konfiguraatiot palaavat edelleen vuotamaan enemmän. Ainoa tapa olla varma on asettaa politiikka eksplisiittisesti. Tehdessäsi niin, valitset yhden säännön lyhyestä listasta. Ne, joilla on merkitystä:

• no-referrer – älä jaa mitään. Seuraavalle sivustolle ei kerrota mitään siitä, mistä kävijä tuli. Maksimaalinen yksityisyys; voi vaimentaa viittausanalytiikkaasi.
• same-origin – jaa täysi osoite vain kun kävijä liikkuu sivujen välillä omalla sivustollasi; älä jaa mitään ulkopuolisille sivustoille.
• strict-origin-when-cross-origin – suositeltu oletus. Omalla sivustollasi täysi polku jaetaan; ulkopuolisille sivustoille jaetaan vain verkkotunnuksesi nimi (eikä mitään, kun mennään turvalliselta sivulta turvattomalle). Ulkopuoliset osapuolet oppivat liikenteen tulevan sinulta, mutta eivät koskaan verkkotunnuksesi jälkeisiä yksityisiä tietoja.
• origin – jaa aina vain verkkotunnuksesi nimi, myös omalla sivustollasi.

Ja kaksi arvoa joita tulee välttää, koska pistekortti kohtelee niitä ei yhtään sen paremmin kuin ei otsikkoa lainkaan:

• unsafe-url – jaa täysi osoite kaikille, aina. Tämä on pahin tapaus yhdessä sanassa.
• no-referrer-when-downgrade – vanha selainoletus; se lähettää silti täyden osoitteen muille turvallisille sivustoille, vuotaen kaiken yllä kuvatun.

Miltä “hyvä” näyttää: Referrer-Policy-otsikko on läsnä ja asetettu rajoittavaan arvoon – useimmille yrityksille strict-origin-when-cross-origin. Tämä pitää viittausanalytiikan toiminnassa samalla kun varmistaa, ettei mikään verkkotunnuksesi nimen jälkeen koskaan päädy ulkopuoliselle sivustolle.

Korjausohje (ilmainen, n. 5 minuuttia)

Anna tämä osio IT-henkilöllesi, webkehittäjällesi tai hosting-tuelle – korjaus on ilmainen, se on yksittäinen rivi, eikä se rikkoa sivustoasi. Ei riskialista käyttöönottoa täällä: toisin kuin jotkut tietoturvaasetukset, järkevä Referrer-Policy ei voi estää linkkejäsi tai sivujasi toimimasta. Se vain lyhentää sitä, mitä jaetaan muiden sivustojen kanssa.

Tavoite: aseta Referrer-Policy-vastaustaho arvolla strict-origin-when-cross-origin (tai tiukemmalla arvolla, jos haluat jakaa vielä vähemmän).

Cloudflare (ei koodia – helpoin jos käytät sitä): Hallintapaneeli → verkkotunnuksesi → Säännöt → Muuntosäännöt → Muokkaa vastaustahoa → Luo sääntö → Aseta staattinen → Otsakennimi Referrer-Policy, arvo strict-origin-when-cross-origin → aseta kaikille saapuville pyynnöille → Ota käyttöön.

Google Workspace / Microsoft 365: nämä hallinnoivat sähköpostiasi, ei verkkosivustoasi, joten otsikko asetetaan siellä, missä sivustosi todella isännöidään (webhostillasi, CDN:ssäsi tai palvelimellasi) – ei Workspacen tai 365:n hallinnassa. Tunnista isäntä ja käytä vastaavaa vaihtoehtoa alla.

Nginx:

add_header Referrer-Policy "strict-origin-when-cross-origin" always;

Apache (sivustokonfiguraatiossa tai .htaccess:issa):

Header always set Referrer-Policy "strict-origin-when-cross-origin"

IIS (web.config):

<httpProtocol><customHeaders>
  <add name="Referrer-Policy" value="strict-origin-when-cross-origin" />
</customHeaders></httpProtocol>

Node / Express:

app.use((req, res, next) => { res.setHeader('Referrer-Policy', 'strict-origin-when-cross-origin'); next(); });

WordPress / yleiset hostit: useimmat hallinnoidut WordPress- ja jaetut hostit antavat sinun lisätä vastaustahoja joko tietoturvalisäosan, “otsikot”-paneelin hostauksen ohjauspaneelissa tai .htaccess-snippetin kautta yllä. Jos olet Cloudflareen takaisen, Cloudflare-menetelmä on siistimpää ja soveltuu kaikkialle kerralla.

Käyttöönoton jälkeen: lataa sivustosi ja suorita tarkistus uudelleen, tai käytä selaimen kehittäjätyökaluja (Verkko-välilehti → klikkaa pääasiakirjaa → Vastaustahot) vahvistaaksesi, että Referrer-Policy: strict-origin-when-cross-origin on läsnä.

Yleisimmät virheet

• Sallivan arvon asettaminen ja sen olevan pisteytetyn olettaminen. unsafe-url ja no-referrer-when-downgrade vuotavat molemmat edelleen täyden osoitteen. Pistekortti pisteytyy ne nollaan – identtisesti ilman otsikkoa. Jos otsikko on läsnä, mutta pisteitä ei tule, tämä on lähes aina syy.
• Asettaminen vain etusivulle. Otsikko pitäisi lähettää jokaisella sivulla, koska vuodot tapahtuvat haku-, tili- ja palautussivuilla – ei etusivulla. Aseta se palvelimen, CDN:n tai Cloudflareen tasolla jotta se soveltuu sivustolaajuisesti automaattisesti.
• Asettaminen vain HTML <meta>-tunnisteisiin. <meta name="referrer"> -tunniste toimii joissain tapauksissa, mutta ei kaikissa, ja se on helppo saada epäjohdonmukaiseksi eri sivuilla. Asettaminen oikeana vastaustahona (yllä olevat menetelmät) on luotettava lähestymistapa.
• Yhden kerroksen antaminen ohittaa toinen. Jos sekä lähtöpalvelin että CDN asettavat otsikon eri arvoilla, tulos voi olla arvaamaton. Valitse yksi paikka hallita sitä – yleensä CDN tai Cloudflare jos sinulla on sellainen – ja pidä loput johdonmukaisena.
• Kohtelu korvikkeena datan pitämiselle pois URL:sta. Otsikko rajoittaa vahinkoa, mutta puhtaampi pitkäaikainen tapa on olla laittamatta salaisuuksia ja henkilötietoja verkkoosoitteisiin alun alkaen. Käytä otsikkoa nyt; nosta URL-hygienia kehittäjällesi jatkovaiheena.

Lyhyesti

Referrer-Policy on halvin, turvallisin yksityisyyskorjaus pistekortissasi: yksi rivi, noin viisi minuuttia, ei riskiä rikkoa mitään, ja ilmainen. Se estää kävijöidesi selaimia hiljaa luovuttamasta yksityisiä sivuosoitteitasi – ja mitä tahansa henkilötietoja ne sisältävät – jokaiselle ulkopuoliselle sivustolle, jonka kautta he klikkaavat. Aseta se strict-origin-when-cross-origin:ksi, vahvista, että se on live jokaisella sivulla, ja keskitason vakavuuden aukko sekä sen 15 pistettä on suljettu.

UKK