Атрибут referrerpolicy тега <img>
Описание
Атрибут referrerpolicy определяет, какая информация о реферере (источнике перехода) будет отправляться при загрузке изображения. Это важный инструмент для контроля конфиденциальности и безопасности.
<img
src="https://analytics.example.com/pixel.jpg"
alt="Трекер аналитики"
referrerpolicy="no-referrer-when-downgrade"
width="1"
height="1">
Доступные значения:
| Значение | Описание | Когда использовать |
|---|---|---|
no-referrer |
Не отправлять информацию о реферере | Максимальная приватность |
no-referrer-when-downgrade |
Отправлять полный URL при HTTPS→HTTPS (по умолчанию) | Баланс безопасности и аналитики |
origin |
Отправлять только домен (без пути) | Баланс приватности и аналитики |
strict-origin |
Отправлять домен только при безопасном переходе | Защита данных при HTTPS→HTTPS |
Примеры для разных сценариев:
<!-- Для трекинга (стандартное поведение) -->
<img src="pixel.png" referrerpolicy="no-referrer-when-downgrade" alt="">
<!-- Для приватности -->
<img src="external-image.jpg" referrerpolicy="no-referrer" alt="Конфиденциальное изображение">
<!-- Для аналитики без деталей -->
<img src="stats.gif" referrerpolicy="origin" alt="Статистика">
Рекомендации по использованию:
- Используйте
no-referrerдля конфиденциальных изображений - Для аналитических пикселей оставьте значение по умолчанию
- Тестируйте работу сервисов при изменении политики
- Сочетайте с
crossoriginдля CORS-запросов
Определение текущей политики:
<img id="testImage" src="test.jpg" alt="">
<script>
const img = document.getElementById('testImage');
console.log('Текущая политика реферера:',
img.referrerPolicy || 'no-referrer-when-downgrade (по умолчанию)');
</script>
Ограничения и совместимость:
- Поддерживается всеми современными браузерами
- В IE не поддерживается
- Сервер может игнорировать заголовки Referer
- Некоторые CDN требуют информации о реферере
Примечание: Выбор правильной политики реферера особенно важен для GDPR и других требований к конфиденциальности. Для изображений, загружаемых из сторонних источников, рекомендуется использовать no-referrer или strict-origin.