Referrer-Policy header

Baseline Widely available *

This feature is well established and works across many devices and browser versions. It’s been available across browsers since January 2020.

* Some parts of this feature may have varying levels of support.

Der HTTP Referrer-Policy Response-Header steuert, wie viele Informationen über den Referrer (gesendet mit dem Referer Header) in Anfragen enthalten sein sollen. Abgesehen vom HTTP-Header können Sie diese Richtlinie auch in HTML setzen.

Header-Typ Response-Header
Verbotener Anfrage-Header Nein

Syntax

http
Referrer-Policy: no-referrer
Referrer-Policy: no-referrer-when-downgrade
Referrer-Policy: origin
Referrer-Policy: origin-when-cross-origin
Referrer-Policy: same-origin
Referrer-Policy: strict-origin
Referrer-Policy: strict-origin-when-cross-origin
Referrer-Policy: unsafe-url

Hinweis: Der Header-Name Referer ist ein Schreibfehler des Wortes "referrer". Der Referrer-Policy Header teilt diesen Schreibfehler nicht.

Richtlinien

no-referrer

Der Referer Header wird ausgelassen: gesendete Anfragen enthalten keine Referrer-Informationen.

no-referrer-when-downgrade

Senden Sie den Origin, Pfad und die Abfragezeichenfolge im Referer, wenn das Sicherheitsniveau des Protokolls gleich bleibt oder sich verbessert (HTTP→HTTP, HTTP→HTTPS, HTTPS→HTTPS). Senden Sie den Referer Header nicht für Anfragen an weniger sichere Ziele (HTTPS→HTTP, HTTPS→file).

origin

Senden Sie nur den Origin im Referer Header. Zum Beispiel wird ein Dokument unter https://example.com/page.html den Referrer https://example.com/ senden.

origin-when-cross-origin

Bei einer same-origin Anfrage zum gleichen Protokoll-Level (HTTP→HTTP, HTTPS→HTTPS), senden Sie den Origin, Pfad und die Abfragezeichenfolge. Senden Sie nur den Origin für Cross-Origin-Anfragen und Anfragen an weniger sichere Ziele (HTTPS→HTTP).

same-origin

Senden Sie den Origin, Pfad und die Abfragezeichenfolge für same-origin Anfragen. Senden Sie den Referer Header nicht für Cross-Origin-Anfragen.

strict-origin

Senden Sie nur den Origin, wenn das Sicherheitsniveau des Protokolls gleich bleibt (HTTPS→HTTPS). Senden Sie den Referer Header nicht an weniger sichere Ziele (HTTPS→HTTP).

strict-origin-when-cross-origin (Standard)

Senden Sie den Origin, Pfad und die Abfragezeichenfolge bei einer same-origin Anfrage. Für Cross-Origin-Anfragen senden Sie nur den Origin, wenn das Sicherheitsniveau des Protokolls gleich bleibt (HTTPS→HTTPS). Senden Sie den Referer Header nicht an weniger sichere Ziele (HTTPS→HTTP).

Hinweis: Dies ist die Standardrichtlinie, wenn keine Richtlinie angegeben ist oder wenn der angegebene Wert ungültig ist (siehe Spezifikationsrevision November 2020). Vorher war die Standardrichtlinie no-referrer-when-downgrade.

unsafe-url

Senden Sie den Origin, Pfad und die Abfragezeichenfolge bei jeder Anfrage, unabhängig von der Sicherheit.

Warnung: Diese Richtlinie wird potenziell private Informationen von HTTPS Ressourcen-URLs zu unsicheren Zielen weitergeben. Überlegen Sie sorgfältig die Auswirkungen dieser Einstellung.

Integration mit HTML

Sie können Referrer-Richtlinien auch innerhalb von HTML setzen. Zum Beispiel können Sie die Referrer-Richtlinie für das gesamte Dokument mit einem <meta> Element mit einem Namen von referrer festlegen:

html
<meta name="referrer" content="origin" />

Sie können das referrerpolicy Attribut auf <a>, <area>, <img>, <iframe>, <script>, oder <link> Elementen angeben, um Referrer-Richtlinien für individuelle Anfragen festzulegen:

html
<a href="http://example.com" referrerpolicy="origin">…</a>

Alternativ können Sie eine noreferrer Link-Relation auf a, area, oder link Elementen festlegen:

html
<a href="http://example.com" rel="noreferrer">…</a>

Warnung: Wie oben gezeigt, wird die noreferrer Link-Relation ohne Bindestrich geschrieben. Wenn Sie die Referrer-Richtlinie für das gesamte Dokument mit einem <meta> Element angeben, sollte sie mit einem Bindestrich geschrieben werden: <meta name="referrer" content="no-referrer">.

Integration mit CSS

CSS kann Ressourcen referenzieren, die aus Stylesheets geladen werden. Diese Ressourcen folgen ebenfalls einer Referrer-Richtlinie:

  • Externe CSS Stylesheets verwenden die Standardrichtlinie (strict-origin-when-cross-origin), es sei denn, sie wird durch einen Referrer-Policy HTTP Header in der Antwort des CSS Stylesheets überschrieben.
  • Für <style> Elemente oder style Attribute wird die Referrer-Richtlinie des Besitzer-Dokuments verwendet.

Beispiele

no-referrer

Vom Dokument Navigation zu Verwendeter Referrer
https://example.com/page irgendwo (kein Referrer)

no-referrer-when-downgrade

Vom Dokument Navigation zu Verwendeter Referrer
https://example.com/page https://example.com/otherpage https://example.com/page
https://example.com/page https://mozilla.org https://example.com/page
https://example.com/page http://example.com (kein Referrer)
http://example.com/page irgendwo http://example.com/page

origin

Vom Dokument Navigation zu Verwendeter Referrer
https://example.com/page irgendwo https://example.com/

origin-when-cross-origin

Vom Dokument Navigation zu Verwendeter Referrer
https://example.com/page https://example.com/otherpage https://example.com/page
https://example.com/page https://mozilla.org https://example.com/
https://example.com/page http://example.com/page https://example.com/

same-origin

Vom Dokument Navigation zu Verwendeter Referrer
https://example.com/page https://example.com/otherpage https://example.com/page
https://example.com/page https://mozilla.org (kein Referrer)

strict-origin

Vom Dokument Navigation zu Verwendeter Referrer
https://example.com/page https://mozilla.org https://example.com/
https://example.com/page http://example.com (kein Referrer)
http://example.com/page irgendwo http://example.com/

strict-origin-when-cross-origin

Vom Dokument Navigation zu Verwendeter Referrer
https://example.com/page https://example.com/otherpage https://example.com/page
https://example.com/page https://mozilla.org https://example.com/
https://example.com/page http://example.com (kein Referrer)

unsafe-url

Vom Dokument Navigation zu Verwendeter Referrer
https://example.com/page?q=123 irgendwo https://example.com/page?q=123

Eine Fallback-Richtlinie angeben

Wenn Sie eine Fallback-Richtlinie angeben möchten, falls die gewünschte Richtlinie nicht genügend Browserunterstützung hat, verwenden Sie eine durch Komma getrennte Liste, wobei die gewünschte Richtlinie zuletzt angegeben wird:

http
Referrer-Policy: no-referrer, strict-origin-when-cross-origin

Im obigen Szenario wird no-referrer nur verwendet, wenn der Browser die strict-origin-when-cross-origin Richtlinie nicht unterstützt.

Hinweis: Das Spezifizieren mehrerer Werte wird nur im Referrer-Policy HTTP-Header unterstützt und nicht im referrerpolicy Attribut.

Browserspezifische Einstellungen

Firefox-Einstellungen

Sie können die Standard Referrer-Richtlinie in den Firefox-Einstellungen konfigurieren. Die Namen der Einstellungen sind versionsspezifisch:

  • Firefox-Version 59 und später: network.http.referer.defaultPolicy (und network.http.referer.defaultPolicy.pbmode für private Netzwerke)
  • Firefox-Versionen 53 bis 58: network.http.referer.userControlPolicy

Alle diese Einstellungen nehmen den gleichen Satz von Werten: 0 = no-referrer, 1 = same-origin, 2 = strict-origin-when-cross-origin, 3 = no-referrer-when-downgrade.

Spezifikationen

Specification
Referrer Policy
# referrer-policy-header

Browser-Kompatibilität

Siehe auch