referrerpolicy HTML attribuut

• no-referrer: De Referer-header wordt niet verzonden.
• no-referrer-when-downgrade: De Referer-header wordt niet verzonden naar origins zonder TLS (HTTPS).
• origin: De verzonden referrer wordt beperkt tot de oorsprong van de verwijzende pagina: het schema, de host en de port ervan.
• origin-when-cross-origin: De referrer die naar andere oorsprongen wordt verzonden, wordt beperkt tot het schema, de host en de poort. Navigaties binnen dezelfde oorsprong bevatten nog steeds het pad.
• same-origin: Een referrer wordt verzonden voor dezelfde oorsprong, maar cross-origin-verzoeken bevatten geen referrer-informatie.
• strict-origin: Verzend alleen de oorsprong van het document als referrer wanneer het beveiligingsniveau van het protocol hetzelfde blijft (HTTPS→HTTPS), maar verzend het niet naar een minder veilige bestemming (HTTPS→HTTP).
• strict-origin-when-cross-origin (standaard): Verzend een volledige URL bij het uitvoeren van een verzoek binnen dezelfde oorsprong, verzend alleen de oorsprong wanneer het beveiligingsniveau van het protocol hetzelfde blijft (HTTPS→HTTPS), en verzend geen header naar een minder veilige bestemming (HTTPS→HTTP).
• unsafe-url: De referrer bevat de oorsprong en het pad (maar niet het fragment, het wachtwoord of de gebruikersnaam). Deze waarde is onveilig, omdat er oorspronghen en paden van door TLS beveiligde resources lekken naar onveilige oorsprongen.

• no-referrer: De Referer-header wordt niet verzonden.
• no-referrer-when-downgrade: De Referer-header wordt niet verzonden naar origins zonder TLS (HTTPS).
• origin: De verzonden referrer wordt beperkt tot de oorsprong van de verwijzende pagina: het schema, de host en de port.
• origin-when-cross-origin: De referrer die naar andere oorsprongen wordt verzonden, wordt beperkt tot het schema, de host en de poort. Navigaties binnen dezelfde oorsprong bevatten nog steeds het pad.
• same-origin: Er wordt een referrer verzonden voor dezelfde oorsprong, maar cross-origin-verzoeken bevatten geen referrer-informatie.
• strict-origin: Verzend alleen de oorsprong van het document als referrer wanneer het beveiligingsniveau van het protocol gelijk blijft (HTTPS→HTTPS), maar verzend deze niet naar een minder veilige bestemming (HTTPS→HTTP).
• strict-origin-when-cross-origin (standaard): Verzend een volledige URL bij een verzoek binnen dezelfde oorsprong, verzend alleen de oorsprong wanneer het beveiligingsniveau van het protocol gelijk blijft (HTTPS→HTTPS), en verzend geen header naar een minder veilige bestemming (HTTPS→HTTP).
• unsafe-url: De referrer bevat de oorsprong en het pad (maar niet het fragment, het wachtwoord of de gebruikersnaam). Deze waarde is onveilig, omdat deze oorsprongen en paden van TLS-beveiligde bronnen lekt naar onveilige oorsprongen.

• no-referrer
  • : De header Referer wordt niet verzonden.
• no-referrer-when-downgrade
  • : De header Referer wordt niet verzonden naar origins zonder TLS (HTTPS).
• origin
  • : De verzonden referrer wordt beperkt tot de origin van de verwijzende pagina: het schema, de host en de port.
• origin-when-cross-origin
  • : De referrer die naar andere origins wordt verzonden, wordt beperkt tot het schema, de host en de port. Navigaties binnen dezelfde origin bevatten nog steeds het pad.
• same-origin
  • : Een referrer wordt verzonden voor dezelfde origin, maar cross-origin-verzoeken bevatten geen referrer-informatie.
• strict-origin
  • : Verzendt alleen de origin van het document als referrer wanneer het beveiligingsniveau van het protocol gelijk blijft (HTTPS→HTTPS), maar verzendt deze niet naar een minder veilige bestemming (HTTPS→HTTP).
• strict-origin-when-cross-origin (standaard)
  • : Verzendt een volledige URL bij een verzoek binnen dezelfde origin, verzendt alleen de origin wanneer het beveiligingsniveau van het protocol gelijk blijft (HTTPS→HTTPS), en verzendt geen header naar een minder veilige bestemming (HTTPS→HTTP).
• unsafe-url
  • : De referrer bevat de origin en het pad (maar niet het fragment, wachtwoord of gebruikersnaam). Deze waarde is onveilig, omdat hij origins en paden van TLS-beschermde bronnen lekt naar onveilige origins.

• no-referrer: De Referer-header wordt niet verzonden.
• no-referrer-when-downgrade: De Referer-header wordt niet verzonden naar origins zonder TLS (HTTPS).
• origin: De verzonden referrer wordt beperkt tot de oorsprong van de verwijzende pagina: het schema, de host en de port.
• origin-when-cross-origin: De referrer die naar andere oorsprongen wordt verzonden, wordt beperkt tot het schema, de host en de poort. Navigaties binnen dezelfde oorsprong bevatten nog steeds het pad.
• same-origin: Er wordt een referrer verzonden voor dezelfde oorsprong, maar cross-origin-verzoeken bevatten geen referrer-informatie.
• strict-origin: Verzend alleen de oorsprong van het document als referrer wanneer het beveiligingsniveau van het protocol gelijk blijft (HTTPS→HTTPS), maar verzend deze niet naar een minder veilige bestemming (HTTPS→HTTP).
• strict-origin-when-cross-origin (standaard): Verzend een volledige URL bij een verzoek binnen dezelfde oorsprong, verzend alleen de oorsprong wanneer het beveiligingsniveau van het protocol gelijk blijft (HTTPS→HTTPS), en verzend geen header naar een minder veilige bestemming (HTTPS→HTTP).
• unsafe-url: De referrer bevat de oorsprong en het pad (maar niet het fragment, wachtwoord of gebruikersnaam). Deze waarde is onveilig, omdat deze oorsprongen en paden van door TLS beschermde bronnen lekt naar onveilige oorsprongen.

• no-referrer betekent dat de Referer-header niet wordt verzonden.
• no-referrer-when-downgrade betekent dat er geen Referer-header wordt verzonden bij het navigeren naar een origin zonder TLS (HTTPS). Dit is het standaardgedrag van een user agent, als er verder geen beleid is opgegeven.
• origin betekent dat de referrer de origin van de pagina zal zijn, wat ruwweg het schema, de host en de poort is.
• origin-when-cross-origin betekent dat navigeren naar andere origins beperkt wordt tot het schema, de host en de poort, terwijl navigeren binnen dezelfde origin het pad van de referrer bevat.
• same-origin betekent dat de referrer (origin, pad en querystring) wordt verzonden voor verzoeken binnen dezelfde origin, maar dat er geen referrer wordt verzonden voor cross-origin-verzoeken.
• strict-origin betekent dat alleen de origin wordt verzonden wanneer het beveiligingsniveau van het protocol gelijk blijft (HTTPS→HTTPS). Er wordt geen referrer verzonden naar minder veilige bestemmingen (HTTPS→HTTP). Dit is belangrijk voor HTTPS-pagina's omdat het voorkomt dat referrer-informatie lekt naar onveilige origins.
• strict-origin-when-cross-origin betekent dat de volledige referrer wordt verzonden voor verzoeken binnen dezelfde origin. Voor cross-origin-verzoeken wordt alleen de origin verzonden wanneer het protocol gelijk blijft (HTTPS→HTTPS), en wordt er geen referrer verzonden bij het downgraden naar HTTP. Dit is de standaardwaarde, die functionaliteit afweegt tegen privacy en beveiliging voor HTTPS-sites.
• unsafe-url betekent dat de referrer de origin en het pad zal bevatten (maar niet het fragment, wachtwoord of de gebruikersnaam). Dit geval is onveilig omdat het origins en paden van TLS-beveiligde bronnen kan lekken naar onveilige origins.

Geeft aan welke referrer verzonden moet worden bij het ophalen van het script, of van bronnen die door het script opgehaald worden:

• no-referrer: De Referer-header wordt niet verzonden.
• no-referrer-when-downgrade: De Referer-header wordt niet verzonden naar origins zonder TLS (HTTPS).
• origin: De verzonden referrer wordt beperkt tot de origin van de verwijzende pagina: het schema, de host en de port.
• origin-when-cross-origin: De referrer die naar andere origins gestuurd wordt, wordt beperkt tot het schema, de host en de poort. Navigaties binnen dezelfde origin bevatten nog steeds het pad.
• same-origin: Er wordt een referrer verzonden voor dezelfde origin, maar cross-origin-verzoeken bevatten geen referrer-informatie.
• strict-origin: Verzend alleen de origin van het document als referrer wanneer het beveiligingsniveau van het protocol gelijk blijft (HTTPS→HTTPS), maar niet naar een minder veilige bestemming (HTTPS→HTTP).
• strict-origin-when-cross-origin (standaard): Verzend een volledige URL bij een verzoek binnen dezelfde origin, verzend alleen de origin wanneer het beveiligingsniveau van het protocol gelijk blijft (HTTPS→HTTPS), en verzend geen header naar een minder veilige bestemming (HTTPS→HTTP).
• unsafe-url: De referrer bevat de origin en het pad (maar niet het fragment, wachtwoord of de gebruikersnaam). Deze waarde is onveilig, omdat deze origins en paden van TLS-beveiligde bronnen lekt naar onveilige origins.