Політики referrer немає, або вона надсилає повні адреси

Чому це важливо

Посібник web.dev про політики referrer пояснює, що надсилання повної адреси з її шляхом і рядком запиту іншим сайтам може загрожувати приватності користувачів, і наполегливо рекомендує задати явну політику, що посилює приватність, як-от strict-origin-when-cross-origin, щоб сайт поводився однаково в кожному браузері.

Що зробити

1. Перегляньте знахідку: у ній показано значення заголовка Referrer-Policy і <meta name="referrer">, які ми прочитали, та політику, що з них випливає.
2. Надсилайте Referrer-Policy: strict-origin-when-cross-origin або same-origin чи no-referrer для суворіших сторінок.
3. Приберіть unsafe-url і no-referrer-when-downgrade із заголовка й будь-якого метатега; розпізнана політика в пізнішому метатезі може переважити заголовок.

Коли залишити як є: якщо сторінка не оголошує політики і вас влаштовує типова поведінка браузерів, примітку можна залишити; у сучасних браузерах це не витік.

Що ми читаємо

Ми читаємо кінцеву відповідь кожної просканованої HTML-сторінки з власним user agent: кожен заголовок Referrer-Policy і <meta name="referrer"> усередині <head>. Ми використовуємо останнє розпізнане значення; розпізнане значення метатега може переважити значення заголовка.

Сторінка фіксується, коли дієва розпізнана політика — це unsafe-url чи no-referrer-when-downgrade або, як примітка, коли політики не оголошено. Нерозпізнане значення пропускається, якщо залишається інше розпізнане; якщо декларації є, але жодну не вдається розв’язати, перевірка не може дійти висновку. Метатег у <body> ігнорується.

Приклад і докази

Ілюстративний приклад — одна відповідь, а не реальний аудит.

https://bakery.example/search?q=birthday+cake відповідає з:

Referrer-Policy: unsafe-url

За цією оголошеною політикою придатний клік на інший сайт може надіслати повну адресу разом із пошуковим запитом, тому сторінка фіксується.

Referrer-Policy: strict-origin-when-cross-origin

Можливе виправлення: тоді придатні посилання на інші джерела надсилають щонайбільше https://bakery.example/.

Підтвердити й перевірити знову

Перевірте самі: відкрийте заголовки відповіді сторінки й пошукайте Referrer-Policy, а також знайдіть у вихідному коді сторінки name="referrer".

Повторна перевірка: Повний аудит — запустіть новий аудит сайту. Повна повторна перевірка HTML знімає знахідку цього правила, коли сторінка оголошує розпізнану політику, яка не надсилає повних адрес іншим сайтам. Без оголошеної політики правило однаково фіксує примітку; за декларацій без розпізнаного значення воно не може дійти висновку.

Обмеження та джерела

Перевірка читає оголошену політику, а не Referer, який браузер справді надсилає, і ігнорує політики, задані на окремих посиланнях через referrerpolicy чи rel="noreferrer".

Упевненість: Висока, бо заголовок і метатег зчитуються безпосередньо.

Джерела

• web.dev, Найкращі практики щодо Referer і Referrer-Policy — пояснює, що надсилання повної адреси іншим джерелам може загрожувати приватності користувачів, і наполегливо рекомендує явну політику, що посилює приватність, як-от strict-origin-when-cross-origin. Перевірено 28 вересня 2026.

Редакційна перевірка: 2 листопада 2026

Пов’язані правила

• HTML-сторінкам в аудиті бракує nosniff — ще один заголовок відповіді, що перевіряється на тих самих сторінках; цю окрему перевірку наразі відкладено в аудиті.