Dans quels cas HTTP_REFERER sera-t-il vide

Je sais qu'il est possible d'obtenir un HTTP_REFERER vide. Dans quelles circonstances cela se produit-il? Si j'en ai un vide, cela signifie-t-il toujours que l'utilisateur l'a changé? Est-ce qu'obtenir un vide équivaut à en obtenir un nul? et dans quelles circonstances est-ce que j'obtiens cela aussi?

Il sera / peut être vide lorsque l'utilisateur final

• entré l'URL du site dans la barre d'adresse du navigateur elle-même.
• visité le site par un signet géré par le navigateur.
• visité le site en première page dans la fenêtre / l'onglet.
• a cliqué sur un lien dans une application externe.
• passé d'une URL https à une URL http.
• passé d'une URL https à une URL https différente.
• a un logiciel de sécurité installé (antivirus / pare-feu / etc) qui supprime le référent de toutes les demandes.
• est derrière un proxy qui supprime le référent de toutes les demandes.
• visité le site par programme (comme, curl ) sans définir l'en-tête du référent (searchbots!).

HTTP_REFERER - envoyé par le navigateur, indiquant la dernière page consultée par le navigateur!

Si vous faites confiance à [HTTP_REFERER] pour une raison importante, vous ne devriez pas le faire, car cela peut être simulé facilement:

1. Certains navigateurs limitent l'accès pour ne pas autoriser la transmission de HTTP_REFERER
2. Tapez une adresse dans la barre d'adresse ne passera pas le HTTP_REFERER
3. ouvrir une nouvelle fenêtre de navigateur ne passera pas le HTTP_REFERER, car HTTP_REFERER = NULL
4. a un addon de navigateur qui le bloque pour des raisons de confidentialité. Certains pare-feu et antivirus le font.

Essayez cette extension Firefox, vous pourrez définir les en-têtes de votre choix:

@Master of Celebration:

Firefox:

extensions: refspoof , refontrol , modifier les en-têtes , no-referer

Désactiver complètement: l'option est disponible dans about: config sous "network.http.sendRefererHeader" et vous voulez le mettre à 0 pour désactiver le passage du référent.

Google Chrome / Chrome:

extensions: noref , spoofy , noreferrer externe

Désactivez complètement: Chnage ~ / .config / google-chrome / Default / Preferences ou ~ / .config / chromium / Default / Preferences et définissez ceci:

{
   ...
   "enable_referrers": false,
   ...
}

Ou ajoutez simplement --no-referrers au raccourci ou dans cli:

google-chrome --no-referrers

Opéra:

Désactivez complètement: Paramètres> Préférences> Avancé> Réseau et décochez "Envoyer les informations de parrainage"

Service Web de spoofing:

http://referer.us/

Proxy de filtrage autonome (usurper n'importe quel en-tête):

Privoxy

Spoofing http_referer lors de l'utilisation de wget

'--referer = url'

Usurpation de http_referer lors de l'utilisation de curl

-e, --referer

Spoofing http_referer avec telnet

telnet www.yoursite.com 80 (press return)
GET /index.html HTTP/1.0 (press return)
Referer: http://www.hah-hah.com (press return)
(press return again)

La liste de BalusC est solide. Une autre façon dont ce champ apparaît fréquemment vide est lorsque l'utilisateur est derrière un serveur proxy. Ceci est similaire à être derrière un pare-feu mais est légèrement différent, je voulais donc le mentionner par souci d'exhaustivité.

Il sera également vide si le nouveau projet standard de politique de référent est utilisé pour empêcher que l'en-tête de référent soit envoyé à l'origine de la demande. Exemple:

<meta name="referrer" content="none">

Bien que Chrome et Firefox aient déjà mis en œuvre une version préliminaire de la politique de parrainage, vous devez y faire attention car par exemple Chrome attend no-referrerau lieu de none(et j'ai vu aussi neverquelque part).

J'ai trouvé que l'implémentation du référentiel de navigateur était vraiment incohérente.

Par exemple, un élément d'ancrage avec l'attribut "download" fonctionne comme prévu dans Safari et envoie le référent, mais dans Chrome, le référent sera vide ou "-" dans les journaux du serveur Web.

<a href="http://foo.com/foo" download="bar">click to download</a>

Est cassé dans Chrome - aucun référent envoyé.