Referrer-Policy yok ya da tam adresi sızdırıyor

ÖnemBilgi

KapsamTüm site

EmekAz

DoğrulamaGüvenlik taraması (haftalık ya da Yeniden tara)

Kural anahtarısec_referrer_policy

Kısa cevap

Ziyaretçi bir linke tıkladığında ya da sayfanız başka bir sitedeki dosyayı yüklediğinde tarayıcı, isteğin nereden geldiğini bildiren Referer başlığını gönderir. Referrer-Policy adresinizin ne kadarının bu başlıkla gideceğini belirler. strict-origin-when-cross-origin değerini kullanın: başka siteler yalnız alan adınızı görür, kendi analitiğiniz tam yolları görmeye devam eder. Güvenlik başlıkları Google sıralamasını etkilemez; konu gizliliktir.

Neden önemli

Sayfa adresleri sandığınızdan fazlasını taşır: arama terimleri, sipariş ya da parola sıfırlama jetonları, kullanıcı numaraları, kampanya parametreleri, üye alanındaki yollar. unsafe-url ya da no-referrer-when-downgrade ile sorgu dizesi dahil tam adres, sayfanın linklediği ya da dosya yüklediği her dış siteye (reklam ağları, gömülü bileşenler, CDN'ler) gider ve onların kütüklerine, analitiğine yazılır. Bu yolla sızan bir sıfırlama jetonu bir hesabı ele geçirmeye yetebilir.

Güncel tarayıcılar politika gönderilmediğinde zaten strict-origin-when-cross-origin kullanır; bu yüzden başlığın hiç olmaması yalnız Bilgi düzeyindedir. Asıl sorun korumayı zayıflatan bir değerdir. Her iki durumda da SEO etkisi yoktur.

Glimana bunu nasıl tespit eder

Glimana HTTPS ana sayfanızın (yönlendirmelerden sonraki) yanıt başlıklarını okur. Referrer-Policy başlığı yoksa Bilgi olarak bildirilir. Geçerli (son) değeri unsafe-url ya da no-referrer-when-downgrade olan politika Düşük olarak bildirilir, çünkü ikisi de tam adresi başka HTTPS sitelere gönderir. Diğer değerler (strict-origin-when-cross-origin, strict-origin, same-origin, no-referrer vb.) geçer. Ana sayfaya HTTPS ile ulaşılamıyorsa kontrol Ölçülemedi gösterir.

Nasıl düzeltilir

Dikkat

no-referrer en katı değerdir ama sitenizi iş ortaklarının analitiğinde trafik kaynağı olarak gizler ve geri dönen ziyaretçinin Referer başlığına bakan ödeme ya da giriş sağlayıcılarını şaşırtabilir. Dengeli seçim strict-origin-when-cross-origin'dir. Nginx'te bir location bloğunun içindeki add_header, server bloğundan miras gelen tüm add_header satırlarını iptal eder; orada tek bir başlık eklemek diğerlerini sessizce kaldırabilir.

Glimana'da bulguyu bulun. Güvenlik sayfasını açın; bu kontrol Güvenlik başlıkları grubunda, son taramanın kanıtı başlığının altında. Aynı sorun Sorunlar › Referrer-Policy yok ya da tam adresi sızdırıyor altında da listelenir.
Düzeltmeyi platformunuzda uygulayın.

WordPressCloudflareApache / Nginx

WordPress Referrer-Policy başlığını yalnız yönetim ve giriş ekranlarında gönderir, herkese açık sitede göndermez. Apache ya da LiteSpeed barındırmada .htaccess dosyasının başına ekleyin: Header always set Referrer-Policy "strict-origin-when-cross-origin" (mod_headers gerekir). Birçok güvenlik ve başlık eklentisinde bunun için bir alan vardır. Sayfa önbelleği eklentisi statik dosya sunuyorsa .htaccess yolu PHP kancasından daha güvenilirdir.

Rules › Overview › Create rule › Response Header Transform Rule. Kuralı tüm gelen isteklere uygulayın, Set static seçin, başlık adı Referrer-Policy, değer strict-origin-when-cross-origin yazıp yayımlayın. Add security headers adlı Managed Transform (Rules › Settings) da bu başlığı ekler ama değeri same-origin'dir; yani başka sitelere hiç referrer gitmez.

Apache, sanal sunucu ayarında ya da .htaccess içinde: Header always set Referrer-Policy "strict-origin-when-cross-origin". Nginx, HTTPS server bloğunda: add_header Referrer-Policy "strict-origin-when-cross-origin" always; ardından nginx -t && systemctl reload nginx.
Glimana'da kontrol edin. Güvenlik sayfasında Yeniden tara düğmesine basın (saatte en çok iki tarama) ya da pazar günkü haftalık taramayı bekleyin; kontrol geçince sorun kapanır.

Düzeltme nasıl doğrulanır

Düzelttikten sonra Güvenlik sayfasında Yeniden tara düğmesine basın (ya da pazar günkü haftalık taramayı bekleyin); kontrol geçtiği anda sorun kapanır.