Referrer-Policy para una navegación privada y coherente
Comprende el encabezado Referer real en solicitudes del mismo origen, entre orígenes, degradaciones HTTPS a HTTP y redirecciones.
BotBrowser Team
Quieres la documentación estructurada de Plataforma?
Este artículo forma parte de la biblioteca editorial. Para pasos de configuración, material de referencia y actualizaciones continuas, entra en la sección de docs.
Cuando una navegación expone una ruta inesperadamente, la pregunta útil es qué política, dirección y salto de redirección produjeron el encabezado Referer. Con el valor moderno strict-origin-when-cross-origin, una solicitud al mismo origen puede conservar la URL completa, una solicitud HTTPS a otro origen suele conservar solo el origen y una degradación HTTPS a HTTP no envía referente. BotBrowser repite un perfil autorizado, pero no puede cambiar la política del navegador ni demostrar qué guarda un servidor remoto.
Resumen
Referrer-Policycontrola el valor enviado; el encabezado de solicitud se llamaReferer.strict-origin-when-cross-origindistingue mismo origen, origen cruzado y degradación HTTPS a HTTP.- Cada redirección crea una nueva solicitud y debe observarse por separado.
- Usa
no-referrercuando incluso el origen sea sensible y nunca pongas secretos en URLs. - BotBrowser repite condiciones declaradas; no concede excepciones ni certifica retención.
Contenido
- Política y encabezado
- Fixture controlado
- Orígenes, degradaciones y redirecciones
- Matriz de evidencia
- Conclusión
- Preguntas frecuentes
Política y encabezado
Referrer-Policy puede llegar como encabezado de respuesta o atributo HTML. no-referrer no envía nada; same-origin solo envía al mismo origen; origin reduce a esquema, host y puerto; strict-origin suprime una degradación; y strict-origin-when-cross-origin mantiene la URL completa solo en el mismo origen, reduce entre orígenes y suprime HTTPS a HTTP. unsafe-url puede revelar ruta y consulta y no es apropiado para datos privados. El nombre histórico del encabezado de solicitud es Referer, con una sola “r”.
Fixture controlado
Usa dos orígenes HTTPS y un endpoint HTTP propio, con URLs sintéticas. Registra la política de la respuesta, el navegador y cada solicitud:
const seen = [];
page.on('request', request => {
if (request.url().includes('/referrer-observation'))
seen.push({ url: request.url(), referer: request.headers().referer ?? null });
});
await page.goto('https://source.example.test/start');
await page.getByRole('link', { name: 'cross-origin' }).click();
console.log(seen);
El resultado esperado es URL completa en el mismo origen, solo https://source.example.test/ entre HTTPS y ningún valor en HTTPS a HTTP bajo la política moderna. Cambios de navegador, modo de solicitud o política efectiva pueden modificarlo; guarda esas condiciones.
Orígenes, degradaciones y redirecciones
Un origen es esquema, host y puerto. Cambiar solo la ruta no cambia el origen; cambiar cualquiera de esos tres elementos sí. “Mismo sitio” no equivale a “mismo origen”. Una redirección no conserva automáticamente el encabezado: el navegador calcula el referente para cada salto. Una redirección entre orígenes puede reducir una ruta y una de HTTPS a HTTP puede suprimirla.
Matriz de evidencia
| Observación | Interpretación prudente | Acción |
|---|---|---|
| Mismo origen con ruta completa | La política permite detalle local | Quita datos sensibles de la ruta |
| HTTPS cruzado con solo origen | La reducción funciona | Confirma que el destino no necesita más |
| HTTPS a HTTP sin encabezado | La degradación está protegida | Mantén HTTPS o trata HTTP como límite |
| Los saltos difieren | Cada salto fue evaluado | Captura política y encabezado en todos |
| Encabezado ausente | Política o modo puede suprimirlo | Repite con fixture mínimo |
No deduzcas identidad de un referente. Proxies y servidores pueden guardar otros datos; la política no borra registros ya creados. BotBrowser permite repetir una navegación autorizada en un perfil declarado y conservar observaciones acotadas, pero no puede cambiar la política, leer registros ajenos ni garantizar retención.
Conclusión
Mide el encabezado real por solicitud. Declara la política, prueba mismo origen, origen cruzado, degradación y redirecciones con URLs sintéticas, elimina secretos de las URLs y conserva HTTPS.
Preguntas frecuentes
¿Referer está mal escrito?
Es la grafía histórica del encabezado HTTP; Referrer-Policy usa la palabra correcta.
¿origin oculta el sitio?
No. Oculta ruta y consulta, pero puede enviar esquema, host y puerto. Para ocultar también el origen usa no-referrer.
¿Una redirección puede recuperar una URL completa?
No por sí sola. Cada solicitud usa la política efectiva y no puede añadir información retrospectivamente.
¿BotBrowser cambia el encabezado?
Repite el flujo para medirlo; la política del navegador, la red y el destino determinan el resultado.
Lecturas siguientes
Fuentes públicas
Los orígenes sintéticos del ejemplo incluyen https://source.example.test/`, https://source.example.test/start', https://old.example.test/account/overview`, https://new.example.test/home`, y https://source.example.test/`、HTTPS.
Artículos Relacionados
Lleva BotBrowser de la investigación a producción
Usa estas guías para entender el modelo y después avanzar hacia validación multiplataforma, contextos aislados y despliegue de navegador preparado para escalar.