Czy Referer nagłówka HTTP jest wysyłany podczas przechodzenia do strony http ze strony https?

W rzeczywistości nie jest już tak prosto (począwszy od 2014 roku), zgodnie z tym dokumentem w3c dotyczącym polityki odsyłania .

Domyślnym zachowaniem jest to, że przeglądarki nie będą wysyłać informacji odsyłających podczas przechodzenia z HTTPS do HTTP. Jednak przeglądarki będą wysyłać referrer podczas przechodzenia z HTTPS do HTTPS.

Również, w HTML5, istnieje nowy Meta tag o nazwie referrer, który wygląda tak:

<meta name="referrer" content="origin">

Nowe przeglądarki już zaimplementowały to . Więc czy przeglądarki będą wysyłać referrer, będzie zależeć od tego meta tagu w najbliższej przyszłości. Jeśli ten meta tag nie jest zawarty w HTML strony, przeglądarki będą używać domyślnego zachowania.

Poniżej znajdują się Możliwe wartości atrybutu zawartości znacznika meta referrer:

Nie jest możliwe wysyłanie odsyłaczy, niezależnie od HTTP lub HTTPS.]}
• origin: tylko domena origin (główna) zostanie wysłana jako referrer
• origin-when-crossorigin: to samo pochodzenie wyśle pełny referrer Adres URL i cross origin będą wysyłać tylko adres URL pochodzenia jako referrer
• no-referrer-when-downgrade: jest to domyślne zachowanie, gdy na stronie nie ma meta znacznika referrer.
W tym celu należy skontaktować się z Działem obsługi klienta pod adresem: .]}

Istnieją również pewne starsze wartości atrybutów dla meta tagu referrer. Nie są one już zalecane, ale używane w wielu witrynach w tej chwili:

• nigdy: to samo co No-referrer
• default: same as no-referrer-when-downgrade
• always: same as unsafe-url

Mam nadzieję, że ta informacja będzie pomocna dla kogoś, kto właśnie znalazł ten post po 2014 roku.

Tak, zdefiniowany w standardzie :

Klienci nie powinni zawierać Referera pole nagłówka w (niezabezpieczonym) HTTP wniosek, jeżeli strona odsyłająca była przesyłane za pomocą bezpiecznego protokołu

Powód: czasami Sessionidy są kodowane URL. Strony HTTP mogą mieć Skrypty cross site, które wykradają sesję z komunikacji HTTPS. Aby temu zapobiec, referrer nie jest przesyłany po przejściu HTTPS do HTTP, dzięki czemu kodowany adres URL sessin ID nie może zostać skradziony.