Referrer-Policy の複数値と未知の値

コンマで 3 つの値を並べ、最後に綴りの違う未知の値 foo を置いた例です。有効な値のうち最後のものが採用され、未知の値は無視される仕様の動きを確かめます。

入力

レスポンスヘッダー

Referrer-Policy: no-referrer, strict-origin-when-cross-origin, foo

ヘッダーを受け取った通信

HTTPS(暗号化された通信)

結果

エラー 0 件・警告 1 件・情報 3 件

指摘(エラー・警告・情報)

  • 情報 Strict-Transport-Security Strict-Transport-Security がありません。HTTPS で配信しているサイトが、ブラウザに HTTPS だけで接続させたいときに送るヘッダーです(RFC 6797)。必要かどうかはサイトの方針で決めます。
  • 警告 Referrer-Policy 「foo」は有効なポリシーではありません。未知の値は無視されます(W3C Referrer Policy 8.1)。有効な値: no-referrer・no-referrer-when-downgrade・same-origin・origin・strict-origin・origin-when-cross-origin・strict-origin-when-cross-origin・unsafe-url
  • 情報 Referrer-Policy 有効な値が 2 個あります。最後の有効な値「strict-origin-when-cross-origin」が採用され、前のものは古いブラウザ向けの代替になります(W3C Referrer Policy 8.1)。
  • 情報 Permissions-Policy Permissions-Policy がありません。ブラウザの機能(位置情報・カメラなど)の許可を、ヘッダーで制限したいときに指定します(W3C Permissions Policy)。
読み取ったヘッダー1 行
指摘の件数エラー 0 件・警告 1 件・情報 3 件
判定の範囲Strict-Transport-Security・Referrer-Policy・Permissions-Policy の有無と構文だけを機械的に判定します。サイトの安全性は判定せず、指摘がなくても安全とは限りません

ヘッダーごとの解釈

ヘッダーごとの解釈
ヘッダー項目値解釈(構文のみ)
Strict-Transport-Security-(ヘッダーなし)このヘッダーはありません
Referrer-Policyno-referrer有効な値リファラーを送らない(W3C Referrer Policy 3)
Referrer-Policystrict-origin-when-cross-origin有効な値同じオリジンには完全なアドレス、別のオリジンにはオリジンだけを送る。HTTPS から HTTP への移動では送らない(W3C Referrer Policy 3)
Referrer-Policyfoo無効な値無視される(W3C Referrer Policy 8.1)
Referrer-Policy採用される値strict-origin-when-cross-origin複数あれば最後の有効な値(W3C Referrer Policy 8.1)
Permissions-Policy-(ヘッダーなし)このヘッダーはありません
Content-Security-Policy-(ヘッダーなし)このヘッダーはありません

検算(この結果になる理由)

W3C Referrer Policy 8.1 は有効な値を順に見て最後のものを採用し、未知の値は無視します。foo は有効な値の一覧にないため警告 1 件で、採用されるのは strict-origin-when-cross-origin です。複数の有効な値があった旨と、HSTS・Permissions-Policy がない旨で、情報は 3 件になります。

判定の根拠は仕様と根拠に、仕様の出典とともにまとめています。自分の入力で試すにはツールをお使いください。

このツールの制約

ご利用にあたって

  • 結果は仕様にもとづく書式の点検で、サイトの安全性を保証するものではありません。「指摘なし」を「安全」と読み替えないでください。
  • 認証情報や内部のホスト名を含むヘッダーは、ダミーに置き換えて貼り付けてください。入力は保存・送信しませんが、画面共有などでは見えます。

ほかの入力例