Referrer-Policy : maîtriser les fuites d’URL vers les sites tiers

Ce que le « referer » révèle malgré vous

Le cas d'école : un utilisateur reçoit un e-mail « réinitialiser votre mot de passe » avec un lien du type https://votresite.fr/reset?token=abc123. Sur la page de réinitialisation, vous chargez une police Google Fonts ou un script analytics. Sans politique stricte, le navigateur envoie l'URL complète — jeton compris — au serveur tiers. Ce jeton se retrouve alors dans des journaux externes, où il peut être lu et réutilisé.

Plus discret mais tout aussi gênant : la simple structure de vos URL internes (noms de clients, identifiants numériques, libellés de documents) peut renseigner un concurrent ou un attaquant sur votre organisation, rien qu'en lisant les referers reçus.

Quelle valeur choisir ?

strict-origin-when-cross-origin est le meilleur compromis et la valeur par défaut des navigateurs modernes : elle envoie l'URL complète lors d'une navigation au sein de votre propre site, mais seulement le nom de domaine (sans le chemin ni les paramètres) vers les sites externes, et absolument rien lors d'un passage d'une page HTTPS vers une page HTTP. Pour la grande majorité des sites, c'est le réglage à adopter.

no-referrer supprime totalement l'information dans tous les cas : confidentialité maximale, mais vous perdez l'attribution de trafic chez vos partenaires et dans certains outils d'analyse. same-origin est un intermédiaire : le referer complet en interne, rien vers l'extérieur. À l'inverse, fuyez unsafe-url qui envoie tout, partout, y compris en clair vers du HTTP.

Activer Referrer-Policy

Voici la configuration recommandée (strict-origin-when-cross-origin) pour les environnements les plus répandus.

<IfModule mod_headers.c>
  Header always set Referrer-Policy "strict-origin-when-cross-origin"
</IfModule>

add_header Referrer-Policy "strict-origin-when-cross-origin" always;

add_action('send_headers', function () {
    header('Referrer-Policy: strict-origin-when-cross-origin');
});

Vérifier et bonnes pratiques complémentaires

Relancez un audit CheckCyber ou inspectez l'onglet Réseau de votre navigateur : l'en-tête doit apparaître sur vos pages. Vous pouvez aussi ajouter, sur un lien sortant précis, l'attribut rel="noreferrer" pour neutraliser le referer au cas par cas, indépendamment de la politique globale.

Règle d'or qui complète cet en-tête : ne placez jamais de secret (jeton, mot de passe, clé) dans une URL. L'en-tête réduit le risque, mais un secret doit voyager dans le corps d'une requête POST ou un en-tête d'autorisation, jamais dans le chemin ou les paramètres d'une adresse.