Referrer-Policy
===============

L'en-tête HTTP header **`Referrer-Policy`** contrôle la quantité d'informations sur le référent (referrer) (envoyées par l'en-tête `Referer`) incluses dans la requête.

|  |  |
| --- | --- |
| Type d'en-tête | Response header |
| Forbidden header name | non |

Syntaxe
-------

**Note :** Le nom originel de l'en-tête, `Referer`, est une faute de frappe du mot anglais "referrer". L'en-tête `Referrer-Policy` ne comporte pas cette erreur.
```

Referrer-Policy: no-referrer
Referrer-Policy: no-referrer-when-downgrade
Referrer-Policy: origin
Referrer-Policy: origin-when-cross-origin
Referrer-Policy: same-origin
Referrer-Policy: strict-origin
Referrer-Policy: strict-origin-when-cross-origin
Referrer-Policy: unsafe-url
```

Directives
----------

`no-referrer`

L'en-tête `Referer` sera entièrement omis. Aucune information sur le référent ne sera envoyée avec les requêtes.

`no-referrer-when-downgrade`

L'origine, le chemin et les paramètres de requête (*querystring*) présents dans l'URL sont envoyés comme référent quand le niveau de sécurité du protocole reste le même (HTTP vers HTTP, HTTPS vers HTTPS) ou s'améliore (HTTP vers HTTPS), mais ne sont pas envoyés si la destination est moins sécurisée que l'origine (HTTPS vers HTTP).

`origin`

 N'envoie que l'origin du document comme référent.
 Par exemple, un document à l'adresse `https://example.com/page.html` enverra le référent `https://example.com/`.


`origin-when-cross-origin`

Envoie l'origine, le chemin et les paramètres de requête pour les requêtes same-origin et seulement l'origine du document dans les autres cas.

`same-origin`

Un référent sera envoyé aux page de même origine, mais des requêtes vers des adresses externes n'enverront aucune information sur le référent.

`strict-origin`

N'envoie que l'origine du document comme référent quand le niveau de sécurité du protocole reste le même (HTTPS vers HTTPS) mais n'envoie rien si la destination est moins sécurisée (HTTPS vers HTTP).

`strict-origin-when-cross-origin` (*valeur par défaut*)

Envoie l'origine, le chemin et les paramètres de requête pour les requêtes de même origine. N'envoie que l'origine quand le niveau de sécurité du protocole reste le même pour les requêtes vers d'autres origines (HTTPS vers HTTPS) et n'envoie aucun en-tête `Referer` si la destination est moins sécurisée (HTTPS vers HTTP).

`unsafe-url`

Envoie l'origine, le chemin et les paramètres de requête pour toutes les requêtes sans tenir compte du niveau de sécurité.

**Attention :** Cette valeur divulgera des informations potentiellement confidentielles de la part des URL de ressources HTTPS vers des origines non sécurisées. Considérez les conséquences de ce paramétrage avant de vous en servir.

Intégration avec HTML
---------------------

Vous pouvez aussi définir des règles de référent au sein d'HTML. Par exemple, vous pouvez définir la règle de référent pour le document entier avec un élément `<meta>` dont le name est `referrer` :


```html
<meta name="referrer" content="origin" />
```


Ou le définit pour des requêtes spécifiques avec l'attribut `referrerpolicy` sur les éléments `<a>`, `<area>`, `<img>`, `<iframe>`, `<script>`, ou `<link>` :


```html
<a href="http://example.com" referrerpolicy="origin"></a>
```


Autrement, une relation de lien définie à `noreferrer` sur un élément `a`, `area`, ou `link` peut être défini :


```html
<a href="http://example.com" rel="noreferrer"></a>
```


**Attention :** Comme vu précédemment, la relation de lien `noreferrer` s'écrit sans trait d'union. Toutefois, quand la règle de référent est spécifiée pour le document entier avec un élément `<meta>`, il faut mettre le trait d'union : `<meta name="referrer" content="no-referrer">`.

Intégration avec CSS
--------------------

CSS peut demander des ressources référencées dans des feuilles de styles. Ces ressources suivent une règle de référent aussi :

* Les feuilles de styles CSS externes utilisant la règle par défaut (`no-referrer-when-downgrade`), moins qu'elle soit remplacée un l'en-tête HTTP `Referrer-Policy` dans la réponse de la feuille de styles CSS.
* Pour les éléments `<style>` ou attributs `style`, la règle de référent du propriétaire du document est utilisée.
Exemples
--------

| Règle | Document | Navigation vers | Référent |
| --- | --- | --- | --- |
| `no-referrer` | https://example.com/page | *n'importe où* | *(pas de référent)* |
| `no-referrer-when-downgrade` | https://example.com/page | https://example.com/otherpage | https://example.com/page |
| https://mozilla.org | https://example.com/page |
| **http**://example.org | *(pas de référent)* |
| `origin` | https://example.com/page | *n'importe où* | https://example.com/ |
| `origin-when-cross-origin` | https://example.com/page | https://example.com/otherpage | https://example.com/page |
| https://mozilla.org | https://example.com/ |
| **http**://example.com/page | https://example.com/ |
| `same-origin` | https://example.com/page | https://example.com/otherpage | https://example.com/page |
| https://mozilla.org | *(pas de référent)* |
| `strict-origin` | https://example.com/page | https://mozilla.org | https://example.com/ |
| **http**://example.org | *(pas de référent)* |
| **http**://example.com/page | *n'importe où* | http://example.com/ |
| `strict-origin-when-cross-origin` | https://example.com/page | https://example.com/otherpage | https://example.com/page |
| https://mozilla.org | https://example.com/ |
| **http**://example.org | *(pas de référent)* |
| `unsafe-url` | https://example.com/page?q=123 | *n'importe où* | https://example.com/page?q=123 |

### Spécifier une règle par défaut

Si vous voulez spécifier une règle à appliquer par défaut dans les où la règle voulue n'est pas supportée par les navigateurs, utilisez un liste de valeurs séparées par des virgules avec la règle voulue fournie en dernière position :
```

Referrer-Policy: no-referrer, strict-origin-when-cross-origin
```


Ici, `no-referrer` ne sera utilisée que si `strict-origin-when-cross-origin` n'est pas supportée par le navigateur.

**Note :** Spécifier plusieurs valeurs n'est supporté que dans l'en-tête HTTP `Referrer-Policy` et non dans l'attribut `referrerpolicy`.

Spécifications
--------------

| Specification |
| --- |
| Referrer Policy # referrer-policy-header |

Compatibilité des navigateurs
-----------------------------

BCD tables only load in the browser with JavaScript enabled. Enable JavaScript to view data.

Voir aussi
----------

* Référent sur Wikipédia
* En utilisant Fetch : `Request.referrerPolicy` (en-US)
* La directive obsolète `referrer` 
Obsolète
 de l'en-tête `Content-Security-Policy`.
* Same-origin policy
* Tighter Control Over Your Referrers – Mozilla Security Blog