Referrer-Policy ist ein HTTP-Response-Header, der festlegt, welche Informationen im Referer-Header (Schreibweise mit drei r) an andere Websites übermittelt werden, wenn der Browser ausgehende Requests sendet. Die Policy schützt die Privatsphäre der Nutzer, indem sie verhindert, dass sensible URL-Bestandteile wie Query-Parameter, Tokens oder Session-IDs an Dritte weitergegeben werden.
Die wichtigsten Werte
no-referrer: Es wird nie ein Referer gesendet.same-origin: Volle URL nur bei gleich-origin Requests, sonst nichts.origin: Nur Schema, Host und Port (ohne Pfad und Query).strict-origin-when-cross-origin: Bei gleich-origin die volle URL, bei fremden Origins nur die Origin, bei einem Downgrade von HTTPS auf HTTP gar nichts. Dieser Wert ist seit etwa 2020 der Standard in allen modernen Browsern.unsafe-url: Sendet die komplette URL inklusive Query-String — aus Datenschutzsicht gefährlich und praktisch nie empfehlenswert.
Warum das wichtig ist
Ein Cookie- oder Phishing-Kontext: URLs enthalten oft Parameter wie ?token=abc123 oder ?session=xyz. Ohne Einschränkung landen diese Werte im Referer und damit bei jeder verlinkten oder eingebetteten Fremdseite. strict-origin-when-cross-origin kappt genau diese Leaks, ohne die Funktionalität von Verweisdaten für die eigene Seite zu verlieren.
Alternativen zur HTTP-Header-Ebene
Die Policy lässt sich auch im HTML setzen: über das <meta name="referrer" content="same-origin">-Tag oder pro Link mit rel="noreferrer". Der Header hat Vorrang vor dem Meta-Tag und wird von HTTP-Servern wie nginx oder Apache zentral gesetzt.
Verwandte Grundlagen: Content-Security-Policy, Same-Origin-Policy, Browser, HTTPS.