ブラウザでリファラーを無効にすることについて HTTP 仕様はなんと言っているか

一方で、主にプライバシー面からリファラーの送信を制御したいというユーザーの欲求は以前からありました。一昔前は Google などの検索結果ページからリンク先に飛ぶと、検索結果ページの URL がリファラーとして当該サイトのアクセスログに記録され、そこには ?q=hogehoge のような形で検索キーワードが含まれていたため、「どんなキーワードでこのページに辿り着いたか」がアクセスログから分かってしまうということがありました。多くの場合は「なんとなく気持ち悪い」「恥ずかしい」程度で済むでしょうが、例えば企業内のネットワークから一般人の個人名を検索した場合はどうでしょう。

ある人が企業に就職し、「本日入社した○○です、よろしくお願いします」という挨拶を社内メールで一斉送信、他の社員が好奇心からその名前を Web 検索したとします。すると、検索結果の上位に表示されるサイトの管理者は、アクセスログに記録された IP アドレスとリファラー情報から、そのタイミングでその会社とその個人に何らかの関係ができたと推察することが可能です。「田中太郎　入社」などと検索した人が複数いたら、「何らかの関係」どころか「入社したという事実」まで推察できてしまうかもしれません。本人が所属企業を公表していない場合、悪意のないただの検索であってもプライバシーの侵害になります。無論、個人名に限らず、取引先の会社名や告知前の新サービス名などでも同様です。

昨今では Google は検索結果ページからクエリー付きの URL がリファラーで飛ばないような技術的配慮がされていますが、サービスによっては今もリファラーから検索単語が分かってしまうものも存在します。そもそもが社内ネットワークから非公表の単語を外部サービスを使って検索するなという話ではあるのですが、かと言ってデスクワークの職種では「検索サービス全面禁止」は現実的ではありません。数ある対策の一つとして、個々人が「ブラウザの設定でリファラーを無効にする」は一定の緩和策にはなるでしょう。

以前は設定画面から簡単にリファラーを無効にできるブラウザがありました。そう、みんな大好き Presto Opera です。

現代では通常の設定画面から変更できるブラウザはおそらくないと思いますが、 Firefox では about:config 内にリファラーを制御する設定がいくつか存在します。

また、アドオンでは単に有効 / 無効の切替だけでなく、アクセスした URL と同じ文字列などに偽装できるようにしたり、ドメインごとにホワイトリストを設定できたりするなど、より細かく制御できるものも存在します。一律に無効にしてしまうと使えなくなってしまうサービスもありますから、このような高度な設定ができるアドオンの存在はありがたいです。

• プライバシーの面などからリファラーを無効にしたいケースは存在する。 Google の進化などにより、クリティカルな事故が起こりうる可能性は減ってきてはいるが、皆無になったわけではなく、現代でも、将来も、リファラーを無効にすることで安全性が向上するケースは引き続き存在する（※本質的な対策ではなく、緩和策に過ぎないことに注意）。
• 2010年代中盤まではリファラーを無効にできるブラウザが存在した。当時の RFC でもブラウザがそのような機能を有することを推奨していた。
• 現在はリファラーを無効にできるブラウザは消滅した。 RFC からもブラウザの機能に関する記述は削除された。ただし、引き続きアドオンなどで制御できる。
• CSRF 対策としてリファラーをチェックする手法は安全上有効であるが、リファラーを無効にしている環境では利用できなくなってしまう。個人的には <input type="hidden"> にトークンを埋め込む手法を優先すべきと考える。