Referrer-Policy

Wat doet hij?

Wanneer een bezoeker vanaf deze pagina op een link naar een andere site klikt, stuurt de browser standaard de volledige URL mee als Referer-header — inclusief eventuele query-parameters zoals sessietokens of zoektermen. Referrer-Policy beperkt wat er precies wordt meegestuurd.

Waarom telt hij mee?

Een te ruime policy lekt interne paden, zoektermen of (per ongeluk) tokens naar derde partijen zoals advertentienetwerken op de volgende site. strict-origin-when-cross-origin stuurt bij cross-origin requests alleen het domein mee, niet het volledige pad.

Aanbevolen waarde

Veelgemaakte fout

unsafe-url instellen (stuurt altijd de volledige URL mee, ook cross-origin en van HTTPS naar HTTP) — meestal een kopieerfout uit een verouderd voorbeeld.

Configuratievoorbeelden

Kant-en-klare snippet om Referrer-Policy in te stellen, per platform.

add_header Referrer-Policy "strict-origin-when-cross-origin" always;