Referrer-Policy header
Baseline Widely available *
This feature is well established and works across many devices and browser versions. It’s been available across browsers since January 2020.
* Some parts of this feature may have varying levels of support.
Der HTTP Referrer-Policy
Response-Header steuert, wie viele Informationen über den Referrer (gesendet mit dem Referer
Header) in Anfragen enthalten sein sollen. Abgesehen vom HTTP-Header können Sie diese Richtlinie auch in HTML setzen.
Header-Typ | Response-Header |
---|---|
Verbotener Anfrage-Header | Nein |
Syntax
Referrer-Policy: no-referrer
Referrer-Policy: no-referrer-when-downgrade
Referrer-Policy: origin
Referrer-Policy: origin-when-cross-origin
Referrer-Policy: same-origin
Referrer-Policy: strict-origin
Referrer-Policy: strict-origin-when-cross-origin
Referrer-Policy: unsafe-url
Hinweis:
Der Header-Name Referer
ist ein Schreibfehler des Wortes "referrer". Der Referrer-Policy
Header teilt diesen Schreibfehler nicht.
Richtlinien
no-referrer
-
Der
Referer
Header wird ausgelassen: gesendete Anfragen enthalten keine Referrer-Informationen. no-referrer-when-downgrade
-
Senden Sie den Origin, Pfad und die Abfragezeichenfolge im
Referer
, wenn das Sicherheitsniveau des Protokolls gleich bleibt oder sich verbessert (HTTP→HTTP, HTTP→HTTPS, HTTPS→HTTPS). Senden Sie denReferer
Header nicht für Anfragen an weniger sichere Ziele (HTTPS→HTTP, HTTPS→file). origin
-
Senden Sie nur den Origin im
Referer
Header. Zum Beispiel wird ein Dokument unterhttps://example.com/page.html
den Referrerhttps://example.com/
senden. origin-when-cross-origin
-
Bei einer same-origin Anfrage zum gleichen Protokoll-Level (HTTP→HTTP, HTTPS→HTTPS), senden Sie den Origin, Pfad und die Abfragezeichenfolge. Senden Sie nur den Origin für Cross-Origin-Anfragen und Anfragen an weniger sichere Ziele (HTTPS→HTTP).
same-origin
-
Senden Sie den Origin, Pfad und die Abfragezeichenfolge für same-origin Anfragen. Senden Sie den
Referer
Header nicht für Cross-Origin-Anfragen. strict-origin
-
Senden Sie nur den Origin, wenn das Sicherheitsniveau des Protokolls gleich bleibt (HTTPS→HTTPS). Senden Sie den
Referer
Header nicht an weniger sichere Ziele (HTTPS→HTTP). strict-origin-when-cross-origin
(Standard)-
Senden Sie den Origin, Pfad und die Abfragezeichenfolge bei einer same-origin Anfrage. Für Cross-Origin-Anfragen senden Sie nur den Origin, wenn das Sicherheitsniveau des Protokolls gleich bleibt (HTTPS→HTTPS). Senden Sie den
Referer
Header nicht an weniger sichere Ziele (HTTPS→HTTP).Hinweis: Dies ist die Standardrichtlinie, wenn keine Richtlinie angegeben ist oder wenn der angegebene Wert ungültig ist (siehe Spezifikationsrevision November 2020). Vorher war die Standardrichtlinie
no-referrer-when-downgrade
. unsafe-url
-
Senden Sie den Origin, Pfad und die Abfragezeichenfolge bei jeder Anfrage, unabhängig von der Sicherheit.
Warnung: Diese Richtlinie wird potenziell private Informationen von HTTPS Ressourcen-URLs zu unsicheren Zielen weitergeben. Überlegen Sie sorgfältig die Auswirkungen dieser Einstellung.
Integration mit HTML
Sie können Referrer-Richtlinien auch innerhalb von HTML setzen. Zum Beispiel können Sie die Referrer-Richtlinie für das gesamte Dokument mit einem <meta>
Element mit einem Namen von referrer
festlegen:
<meta name="referrer" content="origin" />
Sie können das referrerpolicy
Attribut auf <a>
, <area>
, <img>
, <iframe>
, <script>
, oder <link>
Elementen angeben, um Referrer-Richtlinien für individuelle Anfragen festzulegen:
<a href="http://example.com" referrerpolicy="origin">…</a>
Alternativ können Sie eine noreferrer
Link-Relation auf a
, area
, oder link
Elementen festlegen:
<a href="http://example.com" rel="noreferrer">…</a>
Warnung:
Wie oben gezeigt, wird die noreferrer
Link-Relation ohne Bindestrich geschrieben. Wenn Sie die Referrer-Richtlinie für das gesamte Dokument mit einem <meta>
Element angeben, sollte sie mit einem Bindestrich geschrieben werden: <meta name="referrer" content="no-referrer">
.
Integration mit CSS
CSS kann Ressourcen referenzieren, die aus Stylesheets geladen werden. Diese Ressourcen folgen ebenfalls einer Referrer-Richtlinie:
- Externe CSS Stylesheets verwenden die Standardrichtlinie (
strict-origin-when-cross-origin
), es sei denn, sie wird durch einenReferrer-Policy
HTTP Header in der Antwort des CSS Stylesheets überschrieben. - Für
<style>
Elemente oderstyle
Attribute wird die Referrer-Richtlinie des Besitzer-Dokuments verwendet.
Beispiele
no-referrer
Vom Dokument | Navigation zu | Verwendeter Referrer |
---|---|---|
https://example.com/page |
irgendwo | (kein Referrer) |
no-referrer-when-downgrade
Vom Dokument | Navigation zu | Verwendeter Referrer |
---|---|---|
https://example.com/page |
https://example.com/otherpage |
https://example.com/page |
https://example.com/page |
https://mozilla.org |
https://example.com/page |
https://example.com/page |
http://example.com | (kein Referrer) |
http://example.com/page | irgendwo | http://example.com/page |
origin
Vom Dokument | Navigation zu | Verwendeter Referrer |
---|---|---|
https://example.com/page |
irgendwo | https://example.com/ |
origin-when-cross-origin
Vom Dokument | Navigation zu | Verwendeter Referrer |
---|---|---|
https://example.com/page |
https://example.com/otherpage |
https://example.com/page |
https://example.com/page |
https://mozilla.org |
https://example.com/ |
https://example.com/page |
http://example.com/page | https://example.com/ |
same-origin
Vom Dokument | Navigation zu | Verwendeter Referrer |
---|---|---|
https://example.com/page |
https://example.com/otherpage |
https://example.com/page |
https://example.com/page |
https://mozilla.org |
(kein Referrer) |
strict-origin
Vom Dokument | Navigation zu | Verwendeter Referrer |
---|---|---|
https://example.com/page |
https://mozilla.org |
https://example.com/ |
https://example.com/page |
http://example.com | (kein Referrer) |
http://example.com/page | irgendwo | http://example.com/ |
strict-origin-when-cross-origin
Vom Dokument | Navigation zu | Verwendeter Referrer |
---|---|---|
https://example.com/page |
https://example.com/otherpage |
https://example.com/page |
https://example.com/page |
https://mozilla.org |
https://example.com/ |
https://example.com/page |
http://example.com | (kein Referrer) |
unsafe-url
Vom Dokument | Navigation zu | Verwendeter Referrer |
---|---|---|
https://example.com/page?q=123 |
irgendwo | https://example.com/page?q=123 |
Eine Fallback-Richtlinie angeben
Wenn Sie eine Fallback-Richtlinie angeben möchten, falls die gewünschte Richtlinie nicht genügend Browserunterstützung hat, verwenden Sie eine durch Komma getrennte Liste, wobei die gewünschte Richtlinie zuletzt angegeben wird:
Referrer-Policy: no-referrer, strict-origin-when-cross-origin
Im obigen Szenario wird no-referrer
nur verwendet, wenn der Browser die strict-origin-when-cross-origin
Richtlinie nicht unterstützt.
Hinweis:
Das Spezifizieren mehrerer Werte wird nur im Referrer-Policy
HTTP-Header unterstützt und nicht im referrerpolicy
Attribut.
Browserspezifische Einstellungen
Firefox-Einstellungen
Sie können die Standard Referrer-Richtlinie in den Firefox-Einstellungen konfigurieren. Die Namen der Einstellungen sind versionsspezifisch:
- Firefox-Version 59 und später:
network.http.referer.defaultPolicy
(undnetwork.http.referer.defaultPolicy.pbmode
für private Netzwerke) - Firefox-Versionen 53 bis 58:
network.http.referer.userControlPolicy
Alle diese Einstellungen nehmen den gleichen Satz von Werten: 0 = no-referrer
, 1 = same-origin
, 2 = strict-origin-when-cross-origin
, 3 = no-referrer-when-downgrade
.
Spezifikationen
Specification |
---|
Referrer Policy # referrer-policy-header |