Construtor de Cabeçalho Referrer-Policy
O cabeçalho Referrer-Policy controla quanto da sua URL é incluído no cabeçalho de requisição `Referer` quando usuários clicam em links ou sua página faz requisições de subrecursos. Este construtor te deixa escolher uma das oito políticas padrão e ver exatamente o que é enviado pros três cenários que importam: uma requisição pra mesma origem, uma requisição cross-origin sobre HTTPS, e uma requisição cross-origin que faz downgrade pra HTTP. Tanto o cabeçalho de resposta quanto a forma `<meta>` são emitidos pra você poder aplicar a política do servidor ou dentro de um HTML cacheado por CDN.
Referrer-Policy: strict-origin-when-cross-origin<meta name="referrer" content="strict-origin-when-cross-origin">
| Cenário | Referer enviado |
|---|---|
| Mesma origem (HTTPS→HTTPS, mesmo host) | https://app.example.com/page?id=42 |
| Cross-origin (HTTPS→HTTPS, host diferente) | https://api.other.com |
| Downgrade (HTTPS→HTTP) | (no header) |
Aplique o cabeçalho em cada resposta HTML. A forma `<meta>` é útil quando você não pode controlar cabeçalhos (hosting estático que não deixa configurá-los, etc.).
Como usar
- Escolha uma política. O padrão pra navegadores modernos é `strict-origin-when-cross-origin` — vaza só a origem ao sair de HTTPS pra HTTPS, e nada num downgrade.
- Leia as três linhas de exemplo pra ver exatamente o que o navegador enviaria.
- Copie o cabeçalho de resposta (preferido) ou a tag `<meta>` (funciona dentro de uma página HTML quando você não pode controlar cabeçalhos).
Perguntas frequentes
- Qual política é o padrão seguro?
- `strict-origin-when-cross-origin`. Envia a URL completa pra mesma origem (seu analytics ainda funciona), só a origem pra cross-origin HTTPS, e nada ao fazer downgrade pra HTTP. Este é o padrão implícito em navegadores modernos se você não configura uma política.
- Por que `unsafe-url` é marcado?
- Envia a URL completa (incluindo query string) pra cada destino, mesmo em downgrades HTTPS→HTTP. Query strings frequentemente contêm tokens, ids e info pessoal — `unsafe-url` vaza eles pra rede e pra qualquer ad/analytics/embed que vive no destino.
Ferramentas relacionadas
Construtor de Cabeçalho HSTS
Componha um cabeçalho Strict-Transport-Security — max-age, includeSubDomains, preload — com verificação de elegibilidade da lista preload ao vivo.
Construtor de Cabeçalho Permissions-Policy
Construa o cabeçalho de resposta `Permissions-Policy` — alterne câmera, microfone, geolocalização, pagamento, tela cheia e mais de 20 outras funcionalidades de navegador por allowlist de origem.
Construtor de Cabeçalhos CORS
Compõe cabeçalhos de resposta Access-Control-* de uma checklist, com quatro presets e avisos ao vivo pras combinações perigosas.
Construtor de Content-Security-Policy
Construa um cabeçalho CSP a partir de listas de fontes por diretiva, com três presets iniciais e avisos ao vivo pros wildcards perigosos.
Construtor de Registro SPF
Componha um registro TXT Sender Policy Framework de mecanismos, IPs e includes — com contador de buscas DNS ao vivo e avisos.
Construtor de Cabeçalho Cache-Control
Construa um cabeçalho HTTP Cache-Control a partir de uma checklist visual — frescor, revalidação, imutabilidade e os presets comuns.