Summary

  • El campo Referer de HTTP/1.0, descrito en 1996, permitía al servidor conocer la dirección de la página desde la que llegaba una persona. El RFC lo proponía para enlaces entrantes y registros, y ya advertía de que el origen de un vínculo podía ser privado.
  • Referrer Policy dio a los autores de páginas distintas formas de dosificar esa dirección. Con strict-origin-when-cross-origin, una visita entre sitios seguros lleva solo el origen; una salida de HTTPS hacia HTTP no lleva referente.

El navegador llega a otra web con una nota: «vengo de aquí». El RFC 1945 de HTTP/1.0, publicado en mayo de 1996, llamó a la nota Referer; la errata se quedó a vivir en el protocolo. El servidor podía reconstruir enlaces hacia sus páginas, consultar registros, optimizar cachés y encontrar vínculos mal escritos. Para el dueño de la web era una pista valiosa. Para la persona que hacía clic podía ser un rastro que nunca pensó entregar.

El documento de 1996 entendía la incomodidad. La página de origen podía ser información privada y recomendaba permitir al usuario decidir si se enviaba el campo. Una dirección escrita a mano carecía de página remitente; el fragmento detrás de # tampoco debía viajar. Aun así, la idea central era muy tentadora: cuanto más exacta la dirección anterior, más claro el camino que llevó al visitante. El detalle que mejora las estadísticas también puede dibujar un itinerario íntimo.

El propio W3C escogió después una escena reconocible. Una persona coloca en su perfil de una red social un enlace a su grupo favorito. Otro visitante pulsa. Al sitio del grupo le sirve saber que la visita procede de esa red; la URL exacta del perfil puede revelar el nombre de quien lo posee. La Candidate Recommendation de Referrer Policy de enero de 2017 usa este ejemplo para explicar el control del encabezado. Una presentación útil y un domicilio de más cabían en el mismo sobre.

La política ofreció varias maneras de cerrar el sobre. no-referrer no entrega tarjeta. origin muestra el esquema, el dominio y el puerto, pero deja fuera la ruta. strict-origin-when-cross-origin envía la URL completa, depurada, dentro del mismo origen; ante otro sitio seguro, solo comunica el origen. Al pasar de HTTPS a HTTP, no comunica nada. Así se evita que incluso el nombre del sitio salga por una conexión sin cifrar. La página puede expresar su decisión mediante un encabezado de respuesta y los demás mecanismos previstos en el texto.

Cambió quién tenía voz en la presentación. La cabecera de HTTP ofrecía al navegador una forma de decir al receptor dónde empezó un enlace. La política permitió a la página de partida decidir cuánto de la historia debía contar. Una red social puede presentarse al grupo musical sin repartir las direcciones personales de sus miembros. La web de destino conserva la señal de tráfico; el perfil concreto se queda en casa.

El RFC 9110 de semántica HTTP, de junio de 2022, mantiene el nombre mal escrito Referer y reconoce las dos caras del campo. Sigue sirviendo para estadísticas, registros y mantenimiento. También puede mostrar el contexto inmediato de navegación, un nombre de cuenta o un recurso confidencial metido en una URL. Excluye fragmentos e información de usuario, permite recortar el valor más allá del origen y prohíbe enviar un referente de HTTPS a una petición HTTP no segura. La vieja tarjeta de visita ahora puede doblarse antes de entregarla.

El historial de publicaciones del W3C va del primer borrador público de 2014 al texto candidato de 2017. Se entiende en un clic: alguien sale de un perfil y llega a escuchar una banda. La banda puede enterarse del nombre de la red. No hace falta darle el piso y la puerta de cada visitante.