Summary

  • Заголовок Referer в HTTP/1.0 1996 года позволял серверу узнать URI страницы, приведшей посетителя. Это помогало с обратными ссылками и журналами; уже тот RFC предупреждал, что источник ссылки бывает личной информацией.
  • Referrer Policy дала авторам страниц выбор, сколько адреса передать. При strict-origin-when-cross-origin другой защищённый сайт получает только источник, а переход с HTTPS на HTTP не передаёт заголовок вовсе.

Браузер приходит на чужой сайт с запиской: «Я оттуда». RFC 1945, описание HTTP/1.0 от мая 1996 года, назвал записку Referer. Опечатка пережила десятилетия. Сервер мог выяснить, какие страницы направляют к нему людей, читать журналы, улучшать кэширование и находить неверные ссылки. Владельцу сайта такая подсказка пригодилась. Посетитель же мог не заметить, что адрес его прошлой страницы участвует в знакомстве.

Документ 1996 года видел неловкость собственного решения. Источник ссылки может быть частным; человеку рекомендовали дать выбор, отправлять ли поле. У адреса, введённого с клавиатуры, нет ссылающейся страницы, а фрагмент после # тоже оставляли дома. Но точный старый адрес был слишком соблазнителен: чем подробнее он известен, тем точнее статистика входящих ссылок. С той же подробностью вырисовывается маршрут чтения. Вежливая визитка превращается в маленький путевой дневник.

Позднее W3C объяснил проблему на примере музыки. Человек размещает ссылку на любимую группу в профиле социальной сети, другой человек нажимает. Сайту группы полезно знать, что гость пришёл из сети. Полная ссылка на профиль может назвать его владельца. Кандидатная рекомендация W3C по Referrer Policy от января 2017 года приводит именно эту сцену. Полезная рекомендация и лишний личный адрес ехали в одном конверте.

Политика предложила складывать конверт по-разному. no-referrer не передаёт записку. origin оставляет схему, хост и порт, убирая дорогу к конкретной странице. strict-origin-when-cross-origin передаёт очищенный полный URL внутри одного источника, другому защищённому источнику — только источник. Когда страница HTTPS ведёт на HTTP, заголовок отсутствует. На незашифрованном пути даже название сайта становится видимой подсказкой. Автор страницы может определить правило через заголовок ответа и другие описанные механизмы.

Изменилось право представлять посетителя. Исходное поле HTTP давало браузеру способ сообщить конечному серверу, где начался переход. Политика дала странице отправления право выбрать длину рассказа. Социальная сеть может назвать себя сайту группы, не сдавая путь к профилю участника. Сервер видит источник трафика; номер квартиры остаётся в сложенной визитке.

RFC 9110 о семантике HTTP, опубликованный в июне 2022 года, сохраняет старое написание Referer и обе стороны вопроса. Поле по-прежнему полезно для анализа, журналов и обслуживания ссылок. Оно же может раскрыть недавний контекст просмотра или имя учётной записи в URL. Правила удаляют фрагмент и сведения пользователя, допускают сокращение адреса за пределами источника и запрещают посылать адрес HTTPS-страницы в незащищённый HTTP-запрос. Визитку 1996 года не выбросили. Её научились складывать перед передачей.

История публикаций W3C тянется от первого открытого проекта 2014 года до кандидатной рекомендации 2017-го. Последствие видно в одном щелчке: человек уходит из профиля к группе. Группе можно сказать, из какого района пришёл гость. Номер его квартиры ни к чему.