Referrer-Policy: Fehlenden Header setzen und URL-Lecks vermeiden

Fehlt der Referrer-Policy-Header, überlässt eine Website dem Standardverhalten des Browsers, wie viel von der eigenen URL beim Wechsel zu einer anderen Domain weitergegeben wird. EverAudit meldet das als Befund in der Kategorie „Security-Header".

Was ist das Problem?#

Klickt ein Besucher auf einen Link zu einer fremden Website, schickt der Browser standardmäßig die URL der aktuellen Seite als „Referrer" mit — sichtbar für den Betreiber der Zielseite, etwa in dessen Server-Logs oder Analytics-Daten. Ohne explizite Steuerung entscheidet ausschließlich das Browser-Standardverhalten, wie detailliert diese Information ist.

Der Header sieht so aus:

Referrer-Policy: strict-origin-when-cross-origin

Dieser Wert begrenzt die Weitergabe: Innerhalb der eigenen Domain wird die vollständige URL übertragen, bei Wechseln zu einer fremden Domain dagegen nur die Ursprungsdomain selbst — ohne Pfad, Parameter oder Fragmente.

Warum prüft EverAudit das?#

EverAudit prüft bei jeder gecrawlten Seite, ob ein Referrer-Policy-Header gesetzt ist. Fehlt er, wird das gemeldet, weil damit unklar bleibt, wie viel URL-Information beim Verlassen der Seite an Dritte — etwa eingebundene Werbenetzwerke, Social-Buttons oder externe Links — weitergegeben wird.

Der Befund ist besonders relevant bei URLs mit sprechenden Pfaden oder Query-Parametern, etwa internen Suchergebnisseiten, personalisierten Links oder Formular-Bestätigungsseiten, deren Adresse selbst schon Informationen preisgibt.

Welche Auswirkung hat das?#

Ohne explizite Referrer-Policy kann die vollständige, aktuell aufgerufene URL an jede verlinkte externe Seite weitergegeben werden — inklusive aller Pfadsegmente und Query-Parameter. Enthält eine URL etwa eine interne Suchanfrage, einen Session-Bezug oder sonstige Details, gelangen diese Informationen an den Betreiber der Zielseite, ohne dass der eigentliche Website-Betreiber das kontrolliert.

Für Besucher bedeutet das einen unnötigen Kontrollverlust über Details, die sie selbst nicht bewusst preisgeben wollten. Für Website-Betreiber ist es ein Datensparsamkeits-Thema: Je genauer eine URL beschreibt, was ein Nutzer gerade tut, desto eher lohnt sich eine strengere Referrer-Policy, um diese Details nicht ungefragt an Dritte weiterzureichen.

Wie beheben Sie das?#

Setzen Sie den Header zentral am Server, CMS-unabhängig:

• Nginx: add_header Referrer-Policy "strict-origin-when-cross-origin" always;
• Apache: Header always set Referrer-Policy "strict-origin-when-cross-origin"
• Node/Express: res.setHeader('Referrer-Policy', 'strict-origin-when-cross-origin') oder per helmet.
• HTML-Alternative: <meta name="referrer" content="strict-origin-when-cross-origin"> — funktioniert, ist aber weniger robust als ein echter Response-Header, da er im HTML leicht übersehen oder überschrieben werden kann.

Für die meisten Websites ist strict-origin-when-cross-origin ein guter Ausgangswert. Enthalten Ihre URLs regelmäßig sensible Details in Pfad oder Query-String, kann auch der strengere Wert strict-origin (nur die Domain, nie Pfad oder Parameter, auch nicht innerhalb der eigenen Seite) oder no-referrer (gar keine Weitergabe) sinnvoll sein — je nachdem, ob Sie selbst noch auf Referrer-Daten in der eigenen Analytics angewiesen sind.

Fazit#

Die Referrer-Policy entscheidet, wie viel von Ihrer URL beim Seitenwechsel an Dritte weitergegeben wird. Ein einzeiliger Header genügt, um von einem unkontrollierten Standardverhalten zu einer bewusst gewählten, datensparsamen Einstellung zu wechseln.