Defaults.Exposed › Perbaikan › Referrer-Policy

Cara memperbaiki Referrer-Policy

Referrer-Policy adalah instruksi satu baris yang diberikan website Anda kepada browser setiap pengunjung, mengontrol seberapa banyak alamat web Anda yang ikut bepergian ketika mereka mengklik tautan ke website lain. Tanpanya, alamat lengkap halaman apa pun yang mereka kunjungi — kata kunci pencarian, nomor akun, tautan reset, jalur halaman internal, dan semua — diam-diam diberikan ke website berikutnya yang mereka kunjungi, termasuk pengiklan, firma analitik, dan ke mana pun tautan mengarah.

Intinya bagi bisnis Anda: Setiap kali pengunjung mengklik tautan keluar, iklan, atau sumber daya bersama, browser mereka bisa memberikan alamat lengkap halaman Anda ke tujuan — dan jika alamat Anda mengandung kueri pencarian, ID pelanggan, nomor pesanan, atau tautan satu kali, Anda membocorkan data pelanggan ke pihak ketiga yang tidak Anda kendalikan. Itu adalah masalah perlindungan data yang ditanggapi regulator dengan serius, janji privasi yang diam-diam dilanggar, dan kesenjangan yang dinilai yang akan ditandai tim keamanan klien selama due diligence.

Kerugian yang dapat ditimbulkan

• Pelanggan mengisi formulir atau menjalankan pencarian, kemudian mengklik tautan keluar atau iklan — dan alamat halaman, lengkap dengan yang mereka ketikkan, langsung diberikan ke pengiklan atau firma analitik yang tidak pernah Anda maksudkan untuk berbagi dengannya.
• Tautan reset kata sandi dan konfirmasi akun terkadang membawa token rahasia di alamat web; tanpa header ini, mengklik tautan mana pun di halaman itu bisa meneruskan seluruh alamat — token termasuk — ke website luar.
• Jalur halaman internal privat (area admin, halaman hanya pelanggan, tingkatan harga, tautan dokumen) terungkap ke setiap pihak ketiga yang dikunjungi pengunjung Anda, memberikan kompetitor dan pengintai peta website Anda yang tidak seharusnya mereka lihat.
• Tinjauan keamanan klien atau audit privasi memindai website Anda, melihat tidak ada Referrer-Policy, dan mencatatnya sebagai kegagalan minimisasi data — jenis temuan yang menghentikan kontrak atau sertifikasi.
• Data pribadi berakhir di tangan pemroses yang tidak memiliki perjanjian dengan Anda, mengubah pengawasan lima menit menjadi pelanggaran perlindungan data yang harus dilaporkan.

Mengapa ini penting. Browser, dibiarkan sendiri, banyak bicara: secara default mereka memberitahu website berikutnya dari mana pengunjung baru saja datang, sering termasuk alamat lengkap halaman tersebut. Untuk website brosur itu mungkin tidak berbahaya, tapi begitu alamat Anda mengandung sesuatu yang pribadi — kata kunci pencarian, ID pesanan, email dalam tautan, jalur privat — default itu diam-diam membocorkannya ke pihak luar. Referrer-Policy adalah satu pengaturan yang memberi tahu browser untuk berhenti berbagi berlebihan. Ini adalah pemeriksaan yang dinilai pada scorecard Anda bernilai poin nyata, langsung dipetakan ke kewajiban minimisasi data berdasarkan hukum privasi, dan salah satu header keamanan standar yang diharapkan oleh tinjauan profesional mana pun.

Penjelasan dalam bahasa sederhana

Setiap kali pengunjung di website Anda mengklik tautan ke website lain — tautan keluar, banner iklan, “bagikan ini”, bahkan font atau gambar yang dimuat dari tempat lain — browser mereka secara diam-diam melampirkan catatan yang mengatakan halaman mana dari milik Anda yang mereka tinggalkan. Catatan itu disebut referrer.

Digunakan dengan bijak, referrer tidak berbahaya dan bahkan membantu: inilah cara website lain mengetahui bahwa traffic datang dari Anda, dan ini menggerakkan banyak analitik yang jujur. Tangkapannya ada pada perilaku default. Dibiarkan tidak dikelola, browser tidak hanya mengatakan “mereka datang dari your-business.com” — ia sering menyerahkan alamat lengkap dari halaman yang tepat, termasuk semua yang ada setelah nama domain. Dan alamat web membawa jauh lebih banyak dari yang disadari orang: kata kunci pencarian yang diketik ke website Anda, nomor pesanan dan akun, jalur ke halaman hanya anggota yang privat, bahkan token rahasia satu kali dalam tautan reset kata sandi dan konfirmasi.

Referrer-Policy adalah satu instruksi yang dikirimkan website Anda ke browser yang mengatakan seberapa banyak catatan itu yang boleh dibagikan. Anda bisa memberitahunya untuk hanya membagikan nama domain Anda, hanya ke halaman lain di website Anda sendiri, atau tidak sama sekali.

Ini adalah salah satu dari keluarga kecil “header keamanan” — instruksi singkat yang diberikan website Anda kepada browser setiap pengunjung. Ini tidak mengubah tampilan atau cara kerja website Anda. Ini hanya menghentikan browser dari berbagi berlebihan atas nama Anda.

Dampak finansial yang perlu diketahui

Berikut adalah cara konkret dan sehari-hari di mana Referrer-Policy yang hilang atau permisif menggigit bisnis nyata. Tidak satu pun dari ini memerlukan peretas — mereka terjadi secara otomatis, setiap hari, dalam penggunaan normal.

• Pencarian yang bocor. Pelanggan mencari di website Anda untuk sesuatu yang sensitif — produk medis, layanan terkait hutang, perbandingan kompetitor — dan kata kunci pencarian mendarat di alamat halaman. Mereka kemudian mengklik tautan keluar atau iklan di halaman hasil itu. Pengiklan sekarang menerima alamat Anda dengan kata kunci pencarian di dalamnya, mengetahui persis apa yang dicari pelanggan Anda.

• Tautan reset yang terekspos. Banyak sistem menempatkan token rahasia satu kali di alamat halaman reset kata sandi, konfirmasi email, atau “magic login”. Jika halaman itu mengandung tautan keluar atau sumber daya pihak ketiga mana pun, alamat lengkap — token termasuk — bisa diserahkan ke website luar.

• Peta website yang Anda berikan gratis. Jalur halaman internal Anda sering mengungkapkan struktur Anda: /admin, /enterprise-pricing, /clients/acme, /downloads/private-report. Tanpa header ini, setiap website luar yang dikunjungi pengunjung Anda melalui menerima jalur-jalur itu. Kompetitor belajar tentang tingkatan harga dan lini produk Anda; scraper belajar halaman mana yang harus ditarget.

• Hubungan berbagi data yang tidak diinginkan. Hukum privasi mengharapkan Anda untuk mengetahui ke mana data pribadi pelanggan pergi dan memiliki perjanjian yang ada. Membocorkan alamat halaman yang mengandung ID pelanggan atau alamat email ke jaringan iklan dan firma analitik — tanpa perjanjian dan tanpa persetujuan — adalah persis jenis aliran data yang tidak terkontrol yang mengubah audit rutin menjadi temuan, dan temuan menjadi pelanggaran yang harus dilaporkan.

• Kesepakatan yang terhenti pada due diligence. Ketika tim keamanan pelanggan yang lebih besar meninjau Anda, header keamanan standar yang hilang adalah kotak centang otomatis yang cepat. Melihat Referrer-Policy tidak ada memberi tahu mereka higienitas privasi dasar tidak pernah disiapkan — dan kesan itu mempengaruhi bagaimana semua hal lain dalam tinjauan dinilai.

Penjelasan teknis

Secara default, browser mengikuti perilaku yang kira-kira setara dengan “strict-origin-when-cross-origin” pada versi modern — tapi Anda tidak bisa mengandalkan itu, karena browser yang lebih lama, webview tertanam, dan konfigurasi tertentu masih kembali ke membocorkan lebih banyak. Satu-satunya cara untuk memastikan adalah mengatur kebijakan secara eksplisit. Ketika Anda melakukannya, Anda memilih satu aturan dari daftar pendek. Yang penting:

• no-referrer — tidak berbagi apa pun. Website berikutnya tidak diberitahu apa pun tentang dari mana pengunjung datang. Privasi maksimum; bisa meredam analitik referral Anda.
• same-origin — bagikan alamat lengkap hanya ketika pengunjung berpindah antara halaman di website Anda sendiri; tidak bagikan apa pun dengan website luar.
• strict-origin-when-cross-origin — default yang direkomendasikan. Dalam website Anda sendiri, jalur lengkap dibagikan; ke website luar, hanya nama domain telanjang Anda yang dibagikan (dan tidak ada sama sekali ketika beralih dari halaman aman ke halaman tidak aman). Pihak luar belajar bahwa traffic datang dari Anda, tapi tidak pernah detail privat setelah domain Anda.
• origin — selalu bagikan hanya nama domain Anda, bahkan dalam website Anda sendiri.

Dan dua nilai yang harus dihindari, karena scorecard memperlakukannya sebanding dengan tidak memiliki header sama sekali:

• unsafe-url — bagikan alamat lengkap dengan semua orang, selalu. Ini adalah kasus terburuk dalam satu kata.
• no-referrer-when-downgrade — default browser lama; masih mengirimkan alamat lengkap ke website aman lainnya, membocorkan segalanya yang dijelaskan di atas.

Seperti apa “baik” itu: header Referrer-Policy ada dan diatur ke nilai yang ketat — untuk sebagian besar bisnis, strict-origin-when-cross-origin. Ini menjaga analitik referral berfungsi sambil memastikan tidak ada yang melewati nama domain Anda yang pernah mencapai website luar.

Cara memperbaikinya (gratis, sekitar 5 menit)

Berikan bagian ini kepada orang IT, pengembang web, atau dukungan hosting Anda — perbaikannya gratis, satu baris, dan tidak akan merusak website Anda. Tidak ada peluncuran berisiko di sini: tidak seperti beberapa pengaturan keamanan, Referrer-Policy yang masuk akal tidak bisa menghentikan tautan atau halaman Anda dari berfungsi. Ini hanya memangkas apa yang dibagikan dengan website lain.

Tujuannya: atur header respons Referrer-Policy dengan nilai strict-origin-when-cross-origin (atau nilai yang lebih ketat jika Anda lebih suka berbagi lebih sedikit).

Cloudflare (tanpa kode — paling mudah jika Anda menggunakannya): Dashboard → domain Anda → Rules → Transform Rules → Modify Response Header → Create rule → Set static → Header name Referrer-Policy, value strict-origin-when-cross-origin → terapkan ke semua permintaan masuk → Deploy.

Google Workspace / Microsoft 365: ini mengelola email Anda, bukan website Anda, jadi header diatur di mana pun website Anda sebenarnya dihosting (host web, CDN, atau server Anda) — bukan di admin Workspace atau 365.

Nginx:

add_header Referrer-Policy "strict-origin-when-cross-origin" always;

Apache (di konfigurasi website atau .htaccess):

Header always set Referrer-Policy "strict-origin-when-cross-origin"

IIS (web.config):

<httpProtocol><customHeaders>
  <add name="Referrer-Policy" value="strict-origin-when-cross-origin" />
</customHeaders></httpProtocol>

Node / Express:

app.use((req, res, next) => { res.setHeader('Referrer-Policy', 'strict-origin-when-cross-origin'); next(); });

WordPress / host umum: sebagian besar WordPress yang dikelola dan host bersama memungkinkan Anda menambahkan response header melalui plugin keamanan, panel “headers” di panel kontrol hosting, atau cuplikan .htaccess di atas. Jika Anda berada di balik Cloudflare, metode Cloudflare adalah yang paling bersih dan diterapkan di mana-mana sekaligus.

Setelah menerapkan: muat website Anda dan jalankan ulang pemeriksaan, atau gunakan alat dev browser Anda (tab Network → klik dokumen utama → Response Headers) untuk mengonfirmasi Referrer-Policy: strict-origin-when-cross-origin ada.

Kesalahan umum

• Mengatur nilai permisif dan mengasumsikan itu dihitung. unsafe-url dan no-referrer-when-downgrade keduanya masih membocorkan alamat lengkap. Scorecard menilai mereka nol — identik dengan tidak memiliki header. Jika header ada tapi poinnya tidak, ini hampir selalu mengapa.
• Mengaturnya hanya di halaman utama. Header harus dikirimkan di setiap halaman, karena kebocoran terjadi di halaman pencarian, akun, dan reset — bukan halaman utama. Atur di tingkat server, CDN, atau Cloudflare sehingga berlaku di seluruh website secara otomatis.
• Mengaturnya di tag HTML <meta> saja. Tag <meta name="referrer"> berfungsi untuk beberapa kasus tapi tidak semua, dan mudah tidak konsisten antar halaman. Mengaturnya sebagai response header yang tepat (metode di atas) adalah pendekatan yang andal.
• Membiarkan satu lapisan mengganti yang lain. Jika server asal dan CDN Anda mengatur header dengan nilai yang berbeda, hasilnya bisa tidak dapat diprediksi. Pilih satu tempat untuk mengelolanya — biasanya CDN atau Cloudflare jika Anda memilikinya — dan jaga sisanya tetap konsisten.
• Memperlakukannya sebagai pengganti untuk menjaga data keluar dari URL. Header membatasi kerusakannya, tapi kebiasaan jangka panjang yang lebih bersih adalah tidak menempatkan rahasia dan data pribadi di alamat web sejak awal. Gunakan header sekarang; angkat higienitas URL dengan pengembang Anda sebagai tindak lanjut.

Catatan singkat tentang header terkait

Referrer-Policy duduk di samping serangkaian kecil header keamanan web lainnya yang kami periksa — Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, dan beberapa header cross-origin lanjutan. Mereka melindungi hal yang berbeda, jadi memiliki satu tidak mencakup yang lain. Jika Referrer-Policy Anda hilang, ada baiknya meminta siapa pun yang memperbaikinya untuk mengonfirmasi header standar lainnya ada pada saat yang sama, karena biasanya dikonfigurasi di satu tempat yang sama dan kunjungan tidak memerlukan biaya ekstra.

Singkatnya

Referrer-Policy adalah perbaikan privasi yang paling murah dan paling aman pada scorecard Anda: satu baris, sekitar lima menit, tidak ada risiko merusak apa pun, dan gratis. Ini menghentikan browser pengunjung Anda dari diam-diam menyerahkan alamat halaman privat Anda — dan data pribadi apa pun yang mereka kandung — ke setiap website luar yang dikunjungi pengunjung. Atur ke strict-origin-when-cross-origin, konfirmasi ia aktif di setiap halaman, dan kesenjangan tingkat keparahan sedang beserta 15 poinnya tertutup.

FAQ