Referrer-Policy

Penggunaan

Ketika browser mengikuti sebuah tautan atau memuat subsumber daya, browser biasanya mengirim header Referer yang berisi URL halaman asal. Header Referrer-Policy memberi operator situs kendali atas bagian URL mana yang dibagikan, atau apakah header Referer dikirim sama sekali.

Situs yang sensitif terhadap privasi memangkas informasi referrer untuk mencegah bocornya parameter kueri, jalur, atau detail origin ke pihak ketiga. Kebijakan ini berlaku untuk navigasi, request subsumber daya, dan operasi prefetch yang diinisiasi dari halaman tersebut.

Daftar kebijakan yang dipisahkan koma berfungsi sebagai rantai fallback. Browser memilih kebijakan terakhir dalam daftar yang didukungnya, sehingga penerapan yang kompatibel ke depan menjadi mudah.

Menetapkan kebijakan

Terdapat tiga mekanisme untuk menetapkan kebijakan referrer:

Atribut pada tingkat elemen menimpa tag meta tingkat halaman, yang pada gilirannya menimpa header HTTP. Header HTTP adalah metode paling andal karena kebijakannya berlaku sebelum HTML apa pun diurai.

no-referrer

Direktif no-referrer menekan header Referer sepenuhnya. Tidak ada informasi URL yang dikirim bersama request apa pun yang berasal dari halaman tersebut.

no-referrer-when-downgrade

Direktif no-referrer-when-downgrade mengirim URL lengkap (origin, jalur, dan string kueri) untuk request dengan protokol yang sama. Ketika request menurunkan tingkat keamanan (HTTPS ke HTTP), header Referer dihilangkan.

origin

Direktif origin hanya mengirim bagian origin dari URL (skema, host, dan porta). Jalur dan string kueri dipangkas dari setiap request.

origin-when-cross-origin

Direktif origin-when-cross-origin mengirim URL lengkap untuk request same-origin. Untuk request lintas origin atau penurunan protokol, hanya origin yang dikirim.

same-origin

Direktif same-origin mengirim URL lengkap untuk request same-origin dan menghilangkan header Referer sepenuhnya untuk request lintas origin.

strict-origin

Direktif strict-origin hanya mengirim origin, dan hanya ketika tingkat keamanan protokol tetap sama atau membaik (HTTPS ke HTTPS, atau HTTP ke HTTP). Penurunan protokol menekan pengiriman header tersebut.

strict-origin-when-cross-origin

Direktif strict-origin-when-cross-origin mengirim URL lengkap untuk request same-origin, hanya mengirim origin untuk request lintas origin pada tingkat keamanan yang sama, dan menghilangkan header tersebut pada penurunan protokol. Ini adalah kebijakan bawaan pada browser modern ketika Referrer-Policy tidak disetel.

unsafe-url

Direktif unsafe-url mengirim URL lengkap (origin, jalur, dan string kueri) bersama setiap request terlepas dari tujuan atau protokolnya. Ini mengekspos paling banyak informasi dan jarang sesuai untuk penggunaan produksi.

Contoh

Kebijakan bawaan yang ketat, hanya mengirim origin pada navigasi lintas origin:

Referrer-Policy: strict-origin-when-cross-origin

Konfigurasi yang berfokus pada privasi, menekan seluruh data referrer:

Referrer-Policy: no-referrer

Rantai fallback yang membuat browser memilih strict-origin bila didukung, dan kembali ke no-referrer jika tidak:

Referrer-Policy: no-referrer, strict-origin