Referrer-Policy

Was geprüft

Gelesen wird die Referrer-Policy aus der Kopfzeile und aus <meta name="referrer">; ein Meta-Eintrag überschreibt die Kopfzeile. Bei mehreren Werten gilt wie im Browser der letzte gültige. Bewertet wird, ob überhaupt ein gültiger Wert gesetzt ist und ob er nicht unsafe-url lautet.

Wie relevant

Niedrig, wenn keine Policy gesetzt ist, kein gültiger Wert erkannt wird oder unsafe-url gilt, weil aktuelle Browser ohne Angabe bereits einen zurückhaltenden Standard verwenden; eine ausdrückliche Policy macht das Verhalten aber unabhängig vom Browser.

Warum

Der Referrer ist die Adresse der vorherigen Seite, die der Browser beim Klick auf einen Link oder beim Laden fremder Inhalte mitsendet. Enthalten Adressen Suchbegriffe, Kennungen oder Parameter, erfahren fremde Dienste davon. Die Policy legt fest, wie viel davon weitergegeben wird.

Wie beheben

Setzen Sie Referrer-Policy: strict-origin-when-cross-origin. Damit erhalten fremde Seiten nur die Domain, die eigene Seite weiterhin die volle Adresse, und beim Wechsel von einer https- auf eine http-Seite wird nichts gesendet.

Nebenwirkung: Strengere Werte wie no-referrer können Dienste stören, die den Referrer prüfen, etwa Karten- oder Schrift-APIs mit Referrer-Beschränkung des Schlüssels oder die Herkunftsauswertung in der Statistik. Testen Sie solche Einbindungen nach der Änderung.

WordPress: WordPress setzt im Anmeldebereich eine eigene Referrer-Policy; für die öffentliche Seite gilt Ihre Einstellung. Sicherheits- und Cache-Plugins schreiben die .htaccess oft selbst um und können eigene Kopfzeilen dabei entfernen oder doppelt setzen. Setzen Sie Kopfzeilen deshalb an genau einer Stelle (Plugin oder .htaccess außerhalb der Plugin-Blöcke „# BEGIN … # END“) und prüfen Sie nach jedem Plugin-Update mit curl -I.

Codebeispiel

Apache (.htaccess)

<IfModule mod_headers.c>
    Header always set Referrer-Policy "strict-origin-when-cross-origin"
</IfModule>

nginx

add_header Referrer-Policy "strict-origin-when-cross-origin" always;

HTML

<meta name="referrer" content="strict-origin-when-cross-origin">

Weiterführende Quellen

• https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Referrer-Policy
• https://www.w3.org/TR/referrer-policy/