Defaults.Exposed › Popravki › Referrer-Policy

Kako popraviti Referrer-Policy

Referrer-Policy je navodilo ene vrstice, ki ga vaša spletna stran preda brskalniku vsakega obiskovalca in nadzoruje, koliko vašega spletnega naslova potuje z njimi, ko kliknejo na povezavo do druge strani. Brez tega se brskalnik tiho preda celoten naslov strani, na kateri so bili — iskalni izraz, številke računov, ponastavitvene povezave, poti do notranjih strani in vse ostalo — naslednji strani, na kateri pristanejo, vključno z oglaševalci, analitičnimi podjetji in kjerkoli koli kaže na nekam.

Bistvo za vaše podjetje: Vsakič, ko obiskovalec klikne odhodno povezavo, oglas ali deljeni vir, mu brskalnik preda celoten naslov vaše strani — in če vaši naslovi nosijo iskalne poizvedbe, ID-je strank, številke naročil ali enkratne povezave, posredujete podatke strank tretjim osebam, ki jih ne nadzorujete. To je problem varstva podatkov, ki ga regulatorji jemljejo resno, zasebnostna obljuba, ki je bila tiho zlomljena, in ocenjena vrzel, ki jo bo varnostna ekipa stranke označila med skrbnim pregledom.

Kaj vas to lahko stane

• Stranka izpolni obrazec ali izvede iskanje, nato klikne odhodno povezavo ali oglas — in naslov strani, skupaj s tem, kar je vtipkala, je neposredno preda oglaševalcu ali analitičnemu podjetju, s katerim tega nikoli niste nameravali deliti.
• Povezave za ponastavitev gesla in potrditev računa včasih nosijo tajni žeton v spletnem naslovu; brez te glave lahko klikanje na katero koli povezavo na tej strani prenese celoten naslov — vključno z žetonom — na zunanjo stran.
• Zasebne notranje poti strani (skrbniška območja, strani, dostopne le za stranke, ravni cen, dokumentne povezave) so razkrite vsaki tretji osebi, skozi katero klikajo vaši obiskovalci, kar konkurentom in vohljačem preda zemljevid vaše strani, ki ga nikoli ne bi smeli videti.
• Varnostni pregled stranke ali revizija zasebnosti pregleda vašo stran, vidi, da ni Referrer-Policy, in jo zabeleži kot napako minimizacije podatkov — vrsto ugotovitve, ki zaustavi pogodbo ali certifikacijo.
• Osebni podatki se znajdejo v rokah procesorjev, s katerimi nimate sporazuma, in petminutni nadzor spremenite v kršitev varstva podatkov, ki jo je treba prijaviti.

Zakaj je to pomembno. Brskalniki, prepuščeni svoji logiki, so zgovorni: privzeto povedo naslednji spletni strani, od kod je prišel obiskovalec, pogosto vključno s celotnim naslovom strani. Za brošurno stran je to morda nenevno, a takoj, ko vaši naslovi vsebujejo karkoli osebnega — iskalni izraz, ID naročila, e-pošta v povezavi, zasebna pot — ta privzeta vrednost tiho pušča to do zunanjih strani. Referrer-Policy je ena nastavitev, ki brskalniku naroči, da preneha pretirano deliti. Je ocenjevano preverjanje na vašem kartončku, vredno resnih točk, se neposredno nanaša na dolžnosti minimizacije podatkov po pravu o zasebnosti in je ena od standardnih varnostnih glav, ki jo vsak strokovni pregled pričakuje najti.

Kaj to je v preprostem jeziku

Vsakič, ko obiskovalec na vaši spletni strani klikne na drugo stran — odhodno povezavo, oglas, “delij to”, celo pisavo ali sliko, naloženo od drugod — njihov brskalnik tiho priloži opombo, ki pove, s katere vaše strani so prišli. Ta opomba se imenuje referrer.

Smiselno uporabljena je referrer nenevna in celo koristna: tako druge strani vedo, da je promet prišel od vas, in to poganja veliko poštene analitike. Ulov je v privzetem vedenju. Prepuščen brez upravljanja brskalnik ne pove le “prišli so z vaše-podjetje.com” — pogosto preda celoten naslov točne strani, vključno z vsem za imenom domene. In spletni naslovi nosijo daleč več, kot si ljudje zavedajo: iskalni izrazi, vtipkani na vaši strani, naročilne in kontokorni identifikatorji, pot do zasebne strani samo za člane, celo enkratni tajni žetoni v ponastavitvah gesla in potrditvenih povezavah.

Referrer-Policy je eno navodilo, ki ga vaša stran pošlje brskalniku in ki pove, koliko te opombe sme deliti. Mu naročite, da deli le ime vaše domene, le z drugimi stranmi na vaši lastni strani ali sploh nič. Pomislite na to kot na razliko med predajanjem tujcu celotnega domačega naslova z vašim dnevnim urniki, v primerjavi z le povedanjem, v katerem mestu živite.

Kaj vas to lahko stane

Tukaj so konkretni, vsakodnevni načini, ko manjkajoča ali dovoljevalna Referrer-Policy grize resnična podjetja. Nobena od teh ne zahteva hekerja — dogajajo se samodejno, vsak dan, v normalni uporabi.

• Pušček iskanja. Stranka na vaši strani išče nekaj občutljivega — medicinski produkt, storitev, povezano z dolgom, primerjavo s konkurenco — in iskalni izraz pristane v naslovu strani. Nato klikne odhodno povezavo ali oglas na tej strani z rezultati. Oglaševalec zdaj prejme vaš naslov z iskalnim izrazom v njem, izve natanko, kaj je vaša stranka iskala. Tega nikoli niste nameravali deliti in tega ne morete vzeti nazaj.

• Izpostavljena ponastavitvena povezava. Mnogi sistemi v naslov strani za ponastavitev gesla, potrditev e-pošte ali “čarobno prijavo” vnašajo tajni enkratni žeton. Če ta stran vsebuje katero koli odhodno povezavo ali vir tretjih oseb, se celoten naslov — vključno z žetonom — preda zunanji strani. V najslabšem primeru to tretji osebi preda ključe do računa.

• Zemljevid strani, ki ste ga dali zastonj. Vaše notranje poti strani pogosto razkrijejo vašo strukturo: /admin, /enterprise-pricing, /clients/acme, /downloads/private-report. Brez te glave vsaka zunanja stran, skozi katero klikajo vaši obiskovalci, prejme te poti. Konkurenti se naučijo vaše ravni cen in produktnih linij; strgalniki se naučijo, katere strani ciljati.

• Nehotelno razmerje deljenja podatkov. Pravo zasebnosti pričakuje, da veste, kdo dobi podatke vaših strank in da imate sporazum na mestu. Puščanje naslovov strani, ki vsebujejo ID-je strank ali e-pošte, oglaševalskim omrežjem in analitičnim podjetjem — brez sporazuma in soglasja — je natanko tista nekontroliran tok podatkov, ki rutinsko revizijo spremeni v ugotovitev in ugotovitev v kršitev, ki jo je treba prijaviti.

• Posel, ki se zaustavi pri skrbnem pregledu. Ko varnostna ekipa večjega naročnika pregleda vašo stran, so manjkajoče standardne varnostne glave hiter, avtomatizirani indikator. Videnje odsotnosti Referrer-Policy jim pove, da osnovna zasebnostna higiena nikoli ni bila nastavljena — in ta vtis barva vse ostalo v pregledu.

Kaj to dejansko je

Privzeto brskalniki sledijo vedenju, ki je v grobem enakovredno “strict-origin-when-cross-origin” v sodobnih različicah — a ne morete se nanj zanesti, ker starejši brskalniki, vdelani webviewi in določene konfiguracije še vedno padejo nazaj na puščanje več. Edini način za gotovost je eksplicitna nastavitev politike. Ko to naredite, izberete eno pravilo s kratkem seznama. Tista, ki štejejo:

• no-referrer — ne deli ničesar. Naslednja stran ni obveščena o nič o tem, od kod je obiskovalec prišel. Maksimalna zasebnost; lahko zmanjša vašo analitiko priporočanja.
• same-origin — deli celoten naslov le, ko se obiskovalec premika med stranmi na vaši lastni strani; ne deli ničesar z zunanjimi stranmi.
• strict-origin-when-cross-origin — priporočena privzeta vrednost. Znotraj vaše lastne strani se deli celotna pot; zunanjim stranem se deli le vaše golo domensko ime (in nič, ko se gre z varne strani na nevarno). Zunanje strani vedo, da je promet prišel od vas, a ne poznajo zasebnih podrobnosti za vašo domeno.
• origin — vedno deli le vaše domensko ime, celo znotraj vaše lastne strani.

In dve vrednosti, ki se jim je treba izogniti, ker jih kartonček obravnava kot nič boljše od nimeti nobene glave:

• unsafe-url — deli celoten naslov z vsemi, vedno. To je najslabši primer v eni besedi.
• no-referrer-when-downgrade — stara privzeta vrednost brskalnika; še vedno pošilja celoten naslov drugim varnim stranem, ki pušča vse opisano zgoraj.

Kako izgleda “dobro”: glava Referrer-Policy je prisotna in nastavljena na omejevalno vrednost — za večino podjetij strict-origin-when-cross-origin. To ohranja delujočo analitiko priporočanja in hkrati zagotavlja, da zunanja stran ne prejme nikoli nič prek vašega domenskega imena.

Kako to popraviti (brezplačno, okoli 5 minut)

Posredujte ta razdelek vaši IT osebi, spletnemu razvijalcu ali podpori gostovanja — popravek je brezplačen, je ena vrstica in ne bo pokvaril vaše strani. Tukaj ni tveganega uvajanja: za razliko od nekaterih varnostnih nastavitev smiselna Referrer-Policy ne more ustaviti delovanje vaših povezav ali strani. Samo skrčuje, kaj se deli z drugimi stranmi.

Cilj: nastavite glavo odgovora Referrer-Policy z vrednostjo strict-origin-when-cross-origin (ali strožjo vrednostjo, če raje delite manj).

Cloudflare (brez kode — najlažje, če ga uporabljate): Nadzorna plošča → vaša domena → Pravila → Pravila preoblikovanja → Spremi glavo odziva → Ustvari pravilo → Nastavi statično → Ime glave Referrer-Policy, vrednost strict-origin-when-cross-origin → naveži na vse dohodne zahteve → Deploy.

Google Workspace / Microsoft 365: ti upravljata vašo e-pošto, ne vašo spletno stran, zato se glava nastavi kjerkoli je vaša stran dejansko gostovana (vaš spletni gostitelj, CDN ali strežnik) — ne v skrbniški konzoli Workspace ali 365.

Nginx:

add_header Referrer-Policy "strict-origin-when-cross-origin" always;

Apache (v konfiguraciji mesta ali .htaccess):

Header always set Referrer-Policy "strict-origin-when-cross-origin"

IIS (web.config):

<httpProtocol><customHeaders>
  <add name="Referrer-Policy" value="strict-origin-when-cross-origin" />
</customHeaders></httpProtocol>

Node / Express:

app.use((req, res, next) => { res.setHeader('Referrer-Policy', 'strict-origin-when-cross-origin'); next(); });

WordPress / pogosti gostitelji: večina upravljanih WordPress in skupnih gostiteljev vam omogoča dodajanje odgovornih glav bodisi prek varnostnega vtičnika, plošče “glave” v nadzorni plošči gostovanja ali zgornjega delčka .htaccess. Če ste za Cloudflare, je metoda Cloudflare najčistejša in se hkrati nanaša povsod.

Po namestitvi: naložite svojo stran in znova zaženite preverjanje, ali pa v orodjih za razvijalce brskalnika (Omrežje zavihek → kliknite glavni dokument → Glave odziva) potrdite, da je Referrer-Policy: strict-origin-when-cross-origin prisotna.

Pogoste napake

• Nastavitev dovoljujočo vrednosti in predpostavljanje, da se šteje. unsafe-url in no-referrer-when-downgrade oba še vedno puščata celoten naslov. Kartonček ju oceni z ničlo — identično nimeti nobene glave. Če je glava prisotna, a točke niso, je to skoraj vedno razlog.
• Nastavitev le na domači strani. Glava bi morala biti poslana na vsaki strani, ker se puščanje dogaja na straneh z rezultati iskanja, računov in ponastavitev — ne na domači strani. Nastavite na ravni strežnika, CDN-a ali Cloudflare, da se samodejno nanaša site-wide.
• Nastavitev le v HTML <meta> oznakah. Oznaka <meta name="referrer"> deluje za nekatere primere, a ne vse in jo je enostavno narediti nedosled med stranmi. Nastavitev kot ustrezna odgovornik glava (metode zgoraj) je zanesljiv pristop.
• Dovoljenje eni plasti, da preglasi drugo. Če tako vaš izvorni strežnik kot vaš CDN nastavita glavo z različnimi vrednostmi, je rezultat nepredvidljiv. Izberite en kraj za upravljanje — navadno CDN ali Cloudflare, če ga imate — in ohranite ostalo dosleden.
• Obravnavanje kot nadomestka za ohranjanje podatkov izven URL-jev. Glava omejuje škodo, a čistejša dolgoročna navada je, da od začetka ne vnosite skrivnosti in osebnih podatkov v spletne naslove. Zdaj uporabite glavo; higieno URL-jev dvignite z vašim razvijalcem kot nadaljevanje.

Kratka opomba o sorodnih glavah

Referrer-Policy sedi poleg majhnega nabora drugih glav varnosti spleta, ki jih preverjamo — Content-Security-Policy, X-Frame-Options, X-Content-Type-Options in nekatere napredne glave med izvori. Ščitijo različne stvari, zato ena ne pokriva ostalih. Če vaša Referrer-Policy manjka, je vredno prositi tistega, ki jo popravi, da hkrati potrdi, da so ostale standardne glave na mestu, saj so navadno konfigurirane na istem enem mestu in obisk ne stane nič extra.

Na kratko

Referrer-Policy je najcenejši, najvarnejši popravek zasebnosti na vašem kartončku: ena vrstica, okoli pet minut, ni tveganja za pokvaritev česarkoli in je brezplačna. Preprečuje brskalniku vaših obiskovalcev, da tiho predaja vaše zasebne naslove strani — in kakršne koli osebne podatke, ki jih vsebujejo — vsaki zunanji strani, skozi katero kliknejo. Nastavite jo na strict-origin-when-cross-origin, potrdite, da je živa na vsaki strani in vrzel srednje resnosti in njenih 15 točk je zaprta.

Pogosta vprašanja