ตัวสร้าง Referrer-Policy Header
ตัวสร้าง Referrer-Policy header ออนไลน์ฟรี เปรียบเทียบ directive ทั้ง 8 แบบตามมาตรฐาน W3C เห็นชัดว่าข้อมูล referrer รั่วไหลแค่ไหนในแต่ละสถานการณ์ พร้อม
Loading tool...
ตัวสร้าง Referrer-Policy Header คืออะไร?
ตัวสร้าง Referrer-Policy Header ช่วยให้คุณประกาศว่า browser จะแชร์ข้อมูล referrer ได้มากแค่ไหนเมื่อผู้เยี่ยมชมออกจากเว็บคุณ อธิบาย directive ทั้ง 8 แบบตามมาตรฐาน W3C ด้วยภาษาง่าย แสดงตารางว่าแต่ละสถานการณ์ส่งอะไรออกไปจริง และสร้าง snippet สำหรับ nginx, Apache, Express และ HTML meta tag ที่ copy ไปวางได้เลย ทุกอย่างทำงานในเบราว์เซอร์ของคุณ ไม่ต้องสมัครสมาชิก
ประโยชน์หลัก
- ป้องกัน URL เต็ม, query string และ token รั่วไหลไปยังเว็บ third-party และหน้า HTTP ที่ไม่ปลอดภัย
- ตอบโจทย์ OWASP security headers และแนวปฏิบัติด้านความเป็นส่วนตัวด้วยการประกาศเพียงบรรทัดเดียว
- analytics ภายในยังได้ URL เต็ม ส่วนที่อื่นเห็นแค่ origin ของคุณ
- ไม่ต้องแปลกใจเมื่อ default ของ browser เปลี่ยน เพราะคุณตั้ง policy เอง
- ได้ snippet สำเร็จรูปสำหรับ server stack ยอดนิยม จบเร็วขึ้น
กรณีการใช้งาน
- •เสริมความปลอดภัยเว็บ production ก่อน security review หรือ launch
- •แก้ผลตรวจ Referrer-Policy ที่ไม่ผ่านบน securityheaders.com หรือ Observatory
- •ตัดสินใจระหว่าง same-origin กับ strict-origin policy สำหรับผลิตภัณฑ์ที่เน้นความเป็นส่วนตัว
- •ใช้แบบ meta tag เมื่อแก้ server configuration ไม่ได้
- •ใช้อธิบายทีมว่า Referer header ทำงานอย่างไรข้าม origin และ protocol
วิธีตั้งค่า header Referrer-Policy
- เลือก directive: คลิกการ์ดตัวเลือกทั้ง 8 แบบ — strict-origin-when-cross-origin ถูกเลือกไว้และระบุว่าแนะนำ ส่วน unsafe-url มีป้ายเตือน
- เทียบพฤติกรรม: ตารางแสดงสิ่งที่เบราว์เซอร์ส่งจริงในกรณี request แบบ same-origin, cross-origin และตอน downgrade จาก HTTPS ไป HTTP คือ ไม่ส่ง, เฉพาะ origin หรือ URL เต็ม
- เลือกจุดใช้งาน: เลื่อนดู header ที่สร้าง แท็ก meta referrer และ snippet สำหรับ nginx, Apache และ Express ทุกชิ้นอัปเดตตาม directive ที่เลือกแบบสด ๆ
- คัดลอกและนำไปใช้: กดปุ่ม Copy ข้าง snippet ของ stack ที่ใช้ นำไปใส่ใน config เซิร์ฟเวอร์หรือส่วนหัวของหน้าเว็บ และกด Reset เพื่อกลับค่าแนะนำเริ่มต้น
คุณสมบัติหลัก
- รองรับ Referrer-Policy directive ทั้ง 8 แบบตามมาตรฐาน W3C พร้อมคำอธิบายภาษาง่าย
- ตารางแยกสถานการณ์ same-origin, cross-origin และ HTTPS downgrade ว่าส่งข้อมูลอะไรออกไปบ้าง
- มีป้ายแนะนำและป้ายเตือนข้อมูลรั่วไหล เห็นได้ทันทีว่าตัวเลือกไหนปลอดภัย
- ผลลัพธ์ copy ได้ทันทีสำหรับ HTTP header, nginx, Apache, Express middleware และ HTML meta tag
- รองรับสองภาษา EN/TH และทำงาน offline 100% ไม่มีข้อมูลออกจากเบราว์เซอร์
คำถามที่พบบ่อย
สร้าง snippet สำหรับ directive ของ referrer ได้แบบไหนบ้าง
ครบทั้ง 8 แบบ ได้แก่ no-referrer, no-referrer-when-downgrade, origin, origin-when-cross-origin, same-origin, strict-origin, strict-origin-when-cross-origin (ระบุว่าแนะนำ) และ unsafe-url (มีป้ายเตือน)
strict-origin-when-cross-origin ทำงานอย่างไร
ส่ง URL เต็มให้ปลายทาง same-origin ส่งเฉพาะ origin ให้ปลายทาง cross-origin และไม่ส่งอะไรเลยเมื่อ downgrade จาก HTTPS ไป HTTP เป็นจุดสมดุลระหว่างความเป็นส่วนตัวกับความเข้ากันได้ จึงเป็นค่าเริ่มต้นของเบราว์เซอร์ปัจจุบัน
นำ snippet ที่ได้ไปใช้ตรงไหนได้บ้าง
เครื่องมือให้ทั้ง header ดิบ (Referrer-Policy: directive), แท็ก meta referrer ของ HTML และ snippet พร้อมวางสำหรับ nginx (add_header ... always), Apache (Header always set) และ Express middleware เลือกตาม stack ที่ใช้ได้เลย
ตาราง behavior matrix ช่วยตัดสินใจอย่างไร
ทุก directive จะแสดงสามช่อง คือสิ่งที่ส่งเมื่อ request แบบ same-origin, cross-origin และตอน downgrade HTTPS ไป HTTP (ไม่ส่ง, เฉพาะ origin หรือ URL เต็ม) ให้เทียบด้านความเป็นส่วนตัวได้ทันที ทุกอย่างสร้างในเบราว์เซอร์ของคุณ