Summary

  • Das HTTP/1.0-Feld Referer von 1996 konnte dem Zielserver die Adresse der Seite nennen, von der ein Besucher kam. Es half bei Rückverweisen und Protokollen; der RFC warnte schon damals, dass der Ursprung eines Links privat sein kann.
  • Referrer Policy gab Seitenautoren später die Wahl, wie viel von der Adresse mitreist. Unter strict-origin-when-cross-origin erhält eine andere sichere Website nur den Ursprung; beim Wechsel von HTTPS zu HTTP bleibt das Feld aus.

Der Browser betritt eine fremde Website mit einem Zettel in der Tasche: „Von dort komme ich.“ RFC 1945, die HTTP/1.0-Beschreibung vom Mai 1996, nannte den Zettel Referer. Der Schreibfehler bekam ein langes Leben. Zielserver konnten Rückverweise sammeln, Protokolle auswerten, Caches optimieren und falsch geschriebene Links entdecken. Betreiber wussten, wer Menschen zu ihnen brachte. Der klickende Mensch merkte womöglich nicht, dass die Adresse der vorherigen Seite Teil der Vorstellung war.

Der RFC erkannte die Peinlichkeit bereits selbst. Die Quelle eines Links könne privat sein; Menschen sollten über das Versenden des Feldes entscheiden können. Eine per Tastatur eingegebene Adresse hat keine verweisende Seite, und das Fragment nach # blieb außen vor. Doch je genauer die alte Adresse, desto brauchbarer die Herkunftsstatistik. Dieselbe Genauigkeit zeichnete den Leseweg eines Menschen nach. Eine freundliche Visitenkarte konnte erstaunlich viel Gepäck tragen.

Das W3C illustrierte den Konflikt später mit einer Band. Eine Person verlinkt ihre Lieblingsgruppe auf ihrem Profil in einem sozialen Netzwerk; jemand anderes folgt dem Link. Die Band möchte vielleicht erfahren, dass Besuch aus dem Netzwerk kommt. Die genaue Profil-URL kann verraten, wem das Profil gehört. Die Referrer-Policy-Kandidatenempfehlung vom Januar 2017 nutzt genau dieses Beispiel. Nützliche Empfehlung und überflüssige Privatadresse steckten im selben Umschlag.

Die Richtlinie bot verschiedene Faltungen für den Umschlag. no-referrer schickt keinen Zettel. origin nennt nur Schema, Host und Port und behält den Pfad zurück. strict-origin-when-cross-origin sendet innerhalb desselben Ursprungs die bereinigte vollständige URL; zu einer anderen sicheren Herkunft nur den Ursprung. Von HTTPS zu HTTP geht gar kein Referrer mit. Auf unverschlüsseltem Weg kann schon der Name der Website zu viel verraten. Seitenautoren konnten ihre Wahl per Antwortheader und weiteren beschriebenen Mechanismen ausdrücken.

Damit änderte sich, wer die Vorstellung kontrolliert. Das ursprüngliche HTTP-Feld gab dem Browser eine Möglichkeit, dem Ziel den Beginn eines Links zu nennen. Die spätere Richtlinie gab der Ausgangsseite eine Stimme dabei, wie lang diese Geschichte sein sollte. Ein soziales Netzwerk kann sich bei der Band melden, ohne die Profiladresse eines Mitglieds auszugeben. Der Zielserver behält einen Hinweis auf den Besucherstrom; die Wohnungsnummer bleibt im zusammengefalteten Papier.

RFC 9110 über HTTP-Semantik vom Juni 2022 behält den alten Namen Referer und beschreibt beide Seiten. Das Feld dient weiterhin Auswertung, Protokollierung und Wartung. Es kann zugleich den jüngsten Surfkontext oder einen Kontonamen in einer URL preisgeben. Fragmente und Nutzerinformationen werden entfernt, der Wert darf jenseits des Ursprungs gekürzt werden, und eine HTTPS-Seite darf ihren Referrer nicht in eine unsichere HTTP-Anfrage schicken. Die Karte von 1996 blieb im Umlauf. Vor der Übergabe konnte man sie endlich falten.

Die W3C-Veröffentlichungsgeschichte führt vom ersten öffentlichen Entwurf 2014 zur Kandidatenempfehlung 2017. Ein Klick erklärt den Nutzen: Jemand kommt vom Profil zur Band. Die Band erfährt, aus welcher Nachbarschaft der Gast stammt. Die genaue Wohnungstür muss sie nicht kennen.