【実務・中級編】Refererヘッダーの漏洩リスクとReferrer-Policyによる制御 – アプリケーションセキュリティ & 安全な開発防御ガイド

これが、我々が「Referer漏洩」を軽視できない理由だ。単なるXSS以上に、「情報が漏れていることに被害者も管理者も気づかない」という点が最も恐ろしい。

—

2. 防御の要：Referrer-Policyの実装

この攻撃を防ぐ鍵は、ブラウザに対して「どの範囲のReferer情報を送っていいか」を明確に指示することだ。これを制御するのが Referrer-Policy ヘッダーである。

推奨設定：strict-origin-when-cross-origin

現代のWeb開発において、最もバランスが良く推奨される設定は strict-origin-when-cross-origin だ。

• 同じドメイン内: 完全なURLを送る（利便性を維持）。
• 異なるドメイン（HTTPS→HTTPS）: ドメイン情報のみを送る（パスやクエリは削る）。
• 安全でない通信（HTTPS→HTTP）: Refererを送信しない。

—

3. 実務で使える実装サンプル

Webサーバーでの設定 (Nginx)

アプリケーションコードをいじる前に、まずはインフラ層で全ページに適用するのが鉄則だ。nginx.conf に以下を追記する。

全てのレスポンスにセキュリティヘッダーを付与
add_header Referrer-Policy “strict-origin-when-cross-origin” always;
add_header X-Content-Type-Options “nosniff” always;
add_header X-Frame-Options “SAMEORIGIN” always;

アプリケーションでの設定 (PHP Laravel)

Laravel等のフレームワークを使っているなら、ミドルウェアで動的に制御することも可能だ。

// app/Http/Middleware/SecureHeaders.php
public function handle($request, Closure $next)
{
$response = $next($request);
// Referer情報の漏洩を防ぐための厳格な設定
$response->headers->set(‘Referrer-Policy’, ‘strict-origin-when-cross-origin’);
return $response;
}

フロントエンドでの個別の防衛 (HTML/JS)

特定のリンク先だけに制限をかけたい場合は、HTMLタグで直接制御することもできる。