CSP: referrer

HTTP Content-Security-Policy (CSP) の referrer ディレクティブは、ページから離れたリンクの Referer ヘッダー (単一の r が元の仕様のタイポだったため)の情報を指定するために使用されます。この API は推奨されず、ブラウザから削除されました。

構文

Content-Security-Policy: referrer <referrer-policy>;

<referrer-policy> は以下のいずれかの値になります:

"no-referrer"

Referer ヘッダーは完全に除外されます。リファラ情報はリクエストと共に送信されません。

"none-when-downgrade"

これはポリシーが指定されていないときのユーザーエージェントのデフォルトの挙動です。オリジンはリファラとして先天的に安全性の高い宛先（HTTPS->HTTPS）に送信されますが、 安全性の低い宛先（HTTPS->HTTP）には送信されません。

"origin"

全てのケースで、リファラとして document のオリジンのみ送信されます。
ドキュメント https://example.com/page.html は https://example.com/ というリファラが送信されます。

"origin-when-cross-origin" / "origin-when-crossorigin"

同一オリジンのリクエストを実行する際は完全な URL が送信されますが、それ以外の場合は document のオリジンのみ送信されます。

"unsafe-url"

同一オリジン または クロスオリジンを実行する際は完全な URL（パラメータから除外）が送信されます。このポリシーは、TLS で保護されたリソースから保護されていないオリジンへのオリジンとパスをリークさせます。この設定の影響を慎重に検討してください。

例

Content-Security-Policy: referrer "none";

仕様

いずれの仕様の一部でもありません。

ブラウザ互換性

The compatibility table in this page is generated from structured data. If you'd like to contribute to the data, please check out https://github.com/mdn/browser-compat-data and send us a pull request.

参照

• Content-Security-Policy
• Referrer-Policy ヘッダー
• Referer ヘッダー