Når en bruger klikker på et link, eller en side indlæser en sub-resource, sender browsere en Referer-header (den historiske stavefejl), der fortæller destinationen, hvilken URL forespørgslen kom fra. Referrer-Policy response headeren — eller referrerpolicy-attributten på individuelle elementer — styrer, hvor meget af den URL der deles: den fulde sti, kun origin, eller slet ingenting.
Hvorfor det er vigtigt
URL'er indeholder ofte følsomme data: søgeforespørgsler, konto-ID'er, password reset-tokens eller sessionsidentifikatorer. At lække dem til tredjepartsdomæner via Referer er både et privatlivsproblem og en sikkerhedsrisiko — en trackingpixel på en side, der utilsigtet eksponerer en reset-token, kan føre til kontoovertagelse. W3C Referrer Policy-specifikationen anbefaler strict-origin-when-cross-origin, som de fleste browsere også bruger som standard.
Sådan sætter du det op
- Send
Referrer-Policy: strict-origin-when-cross-originsom baseline. Cross-origin requests får kun origin; same-origin requests får stadig den fulde URL. - Brug
no-referrerfor meget følsomme sider som konto- eller betalingsflows. - Undgå
unsafe-url, som sender den fulde URL til enhver destination uanset skema. - Overrider pr. link med HTML-attributten, f.eks.
<a href="..." referrerpolicy="no-referrer">. - Kombinér med HSTS, CSP og en streng Permissions Policy for lagdelt forsvar.
- Verificér at headeren lander ved at inspicere svar i DevTools eller køre
curl -I.