كان المتصفح يوزّع عنوانك كاملًا، ثم تعلّم أن يهمس

Summary

• سمح حقل Referer في HTTP/1.0 عام 1996 للخادم بمعرفة عنوان الصفحة التي قادت الزائر إليه، ليستعمله في الروابط الواردة والسجلات. ونبّه RFC منذ ذلك الوقت إلى أن مصدر الرابط قد يكون معلومة خاصة.
• منحت Referrer Policy صاحب الصفحة خيارات لكمية العنوان المرسلة. وفق strict-origin-when-cross-origin، تنقل الطلبات بين موقعين آمنين أصل الموقع وحده، ولا تنقل شيئًا حين تخرج صفحة HTTPS إلى HTTP.

يطرق المتصفح باب موقع جديد وفي جيبه ورقة تقول: «أتيت من هنا». سمّت وثيقة HTTP/1.0، RFC 1945، المنشورة في مايو 1996 هذه الورقة Referer. بقي الخطأ الإملائي في اسم الحقل كأنه جزء من الأثاث. استطاع الخادم به أن يرتب الروابط التي جلبت الزوار، ويتفقد السجلات، ويحسن التخزين المؤقت، ويجد الروابط التي كُتبت خطأ. عرف صاحب الموقع من أرسل الزائر. أما الزائر فلم يكن بالضرورة يعرف أن عنوان الصفحة السابقة جاء معه.

لاحظت الوثيقة الصعوبة منذ البداية. قد يكون مصدر الرابط خاصًا، ولذلك أوصت بأن يختار الإنسان إرسال الحقل أو حجبه. لا مصدر لعنوان كُتب مباشرة في شريط المتصفح، كما يُستبعد الجزء الذي يأتي بعد #. ومع ذلك كان للعنوان الدقيق إغراء واضح: كلما عرفت الوجهة مكان النقر بالتحديد، تحسنت قائمة الروابط الواردة. والدقة نفسها ترسم خريطة دقيقة لما كان الشخص يقرأه. بطاقة تعارف مهذبة يمكن أن تحمل صفحة من دفتر يوميات.

اختار W3C لاحقًا مثالًا يسهل تخيله. يضع شخص رابطًا لفرقته المفضلة في ملفه على شبكة اجتماعية. ينقر شخص آخر الرابط. يكفي موقع الفرقة أن يعرف أن الزيارة جاءت من الشبكة؛ أما رابط الملف الشخصي كاملًا فقد يكشف صاحبه. تعرض وثيقة Referrer Policy المرشحة للتوصية في يناير 2017 هذا المشهد لتشرح الحاجة إلى التحكم في الترويسة. معلومة مفيدة وعنوان زائد وُضعا في الظرف نفسه.

قدمت السياسة طرقًا لطي الورقة. no-referrer لا يرسل بطاقة. origin يرسل البروتوكول والمضيف والمنفذ ويترك مسار الصفحة. أما strict-origin-when-cross-origin فيرسل العنوان الكامل بعد تنقيته للطلب داخل الأصل نفسه، ولا يرسل إلى أصل آمن آخر إلا أصل الموقع. وإذا انتقل الرابط من HTTPS إلى HTTP لم يرسل مرجعًا. حتى اسم الموقع قد يظهر على طريق غير مشفر. يستطيع صاحب الصفحة تحديد القاعدة في ترويسة الاستجابة وغيرها من الوسائل التي وصفتها المواصفة.

تغير صاحب الكلمة في التعارف. أعطى الحقل الأول المتصفح طريقة لإخبار الوجهة من أين بدأ الرابط. ثم أعطت السياسة صفحة الانطلاق قرار طول تلك الحكاية. يمكن للشبكة الاجتماعية أن تقول للفرقة «الزائر جاء من عندنا» من دون تسليم طريق ملف أحد أعضائها. تبقى للوجهة إشارة عن مصدر الزيارة، ويبقى رقم الشقة مطويًا في البطاقة.

يحافظ RFC 9110، مواصفة دلالات HTTP الصادرة في يونيو 2022، على تهجئة Referer القديمة، ويصف منفعة الحقل وخطره معًا. يفيد التحليل والسجلات وصيانة الروابط. وقد يكشف أيضًا سياق التصفح المباشر أو اسم حساب مذكور في العنوان. تستبعد قواعده أجزاء الرابط اللاحقة وعناصر تعريف المستخدم، وتسمح باختصار العنوان بعد أصل الموقع، وتمنع إرسال مرجع صفحة HTTPS في طلب HTTP غير آمن. لم تختف بطاقة 1996؛ صارت قابلة للطي قبل تسليمها.

يمتد سجل منشورات W3C من المسودة العامة الأولى عام 2014 إلى النص المرشح عام 2017. وتظهر النتيجة في نقرة واحدة: يخرج الزائر من ملف شخصي ويصل إلى فرقة. تستطيع الفرقة معرفة الحي الذي جاء منه. لا حاجة إلى رقم باب منزله.