Referrer-Policy: o que é e como configurar

O Referrer-Policy controla quanta informação sobre a sua navegação é partilhada quando um visitante sai do seu site. Neste artigo explicamos o que é, porque importa e como configurá-lo.

O que é o Referrer-Policy

Quando um visitante clica num link que o leva para fora do seu site, o navegador pode enviar ao site de destino informação sobre a página de origem (o “referrer”) – por exemplo, o URL completo da página onde estava. O cabeçalho Referrer-Policy controla quanta desta informação é partilhada, e em que circunstâncias.

Porque é importante

Sem uma política definida, o comportamento por defeito de alguns navegadores pode partilhar mais informação do que o necessário com sites externos – incluindo, por vezes, dados sensíveis presentes no próprio URL (como identificadores de sessão ou parâmetros de pesquisa interna). Isto pode representar um risco de privacidade para os seus visitantes e, em certos casos, uma fuga de informação sobre a estrutura interna do seu site.

Boas práticas

Utilizar a política strict-origin-when-cross-origin como valor equilibrado e recomendado para a maioria dos sites – partilha apenas o domínio de origem (não o URL completo) quando o destino é externo, e o URL completo quando a navegação é dentro do mesmo site.
Evitar a política unsafe-url, que envia sempre o URL completo, mesmo para destinos externos e mesmo em ligações não encriptadas.
Considerar políticas mais restritivas, como no-referrer ou same-origin, para sites com maiores requisitos de privacidade, tendo em conta que isso pode afetar a análise de tráfego de referência de parceiros externos.
Verificar o impacto da política escolhida nas suas próprias ferramentas de analytics, que podem depender parcialmente desta informação.

Como corrigir

Defina qual o nível de partilha de informação de referência adequado ao seu site, tendo em conta privacidade e necessidades de análise de tráfego.
Configure o cabeçalho no seu servidor, com o valor recomendado para a maioria dos casos:

Referrer-Policy: strict-origin-when-cross-origin
Se preferir uma política mais restritiva, considere:

Referrer-Policy: no-referrer ou Referrer-Policy: same-origin
Teste a alteração, confirmando que ferramentas dependentes de dados de referência (como analytics) continuam a funcionar como esperado.

Escolher a política errada pode expor informação sensível a terceiros ou, no extremo oposto, prejudicar a sua análise de tráfego – equilibrar privacidade e funcionalidade exige alguma experiência. Na WebDig Host, ajudamo-lo a definir a política de Referrer-Policy mais adequada às necessidades reais do seu site.

Conhecer os serviços de alojamento e gestão de domínios da WebDig Host

Perguntas frequentes sobre o Referrer-Policy

Qual é a política recomendada para a maioria dos sites?

strict-origin-when-cross-origin é considerada um bom equilíbrio entre privacidade e funcionalidade, e é atualmente o valor por defeito na maioria dos navegadores modernos – ainda assim, é boa prática defini-la explicitamente.

Esta política afeta o Google Analytics ou outras ferramentas de análise?

Pode afetar parcialmente a informação de origem de tráfego reportada por essas ferramentas, especialmente relativamente a que página específica de outro site enviou o visitante. Políticas mais restritivas reduzem essa informação.

Devo usar `no-referrer` para máxima privacidade?

É uma opção válida, mas pode dificultar a análise de tráfego de referência e, nalguns casos, o funcionamento de integrações que dependam dessa informação. Avalie o equilíbrio entre privacidade e as suas necessidades de análise antes de optar por esta política mais restritiva.

Verifique agora os cabeçalhos de segurança do seu site

Com o Secure Check, pode confirmar gratuitamente se o Referrer-Policy e outros cabeçalhos de segurança do seu domínio estão configurados, em poucos segundos.