حدود هذا الفحص
ما الذي يطلبه تَحَصَّنْ؟
يقرأ رؤوس الاستجابة النهائية، ومع CSP قد يقرأ أيضاً سياسة report-only أو وسم meta داخل HTML من دون تشغيل الصفحة.
متى تنطبق القاعدة؟
- The response can initiate browser navigation or subresource requests.
متى لا تنطبق؟
- Browser referrer behavior is irrelevant to the observed resource.
اختبار الاستغلال
لم يُختبر
ما الذي يرصده؟
يجرد سياسة الإحالة المرسلة مع الاستجابة ويعرض غيابها كفرصة ضبط سياقية.
العبارات التقنية التالية مرتبطة بكتالوج المنهجية وإصدار القاعدة، لذلك تُعرض باتجاه LTR مع شرح عربي محيط بها.
- Referrer-Policy header value
ماذا تثبت الملاحظة؟
- The policy declared on the observed response.
ماذا تعني نتيجة الاجتياز؟
تعني أن الشرط المسمى اجتاز على الاستجابة المرصودة فقط. لا تصف أمان الموقع كله ولا تختبر المسارات الأخرى.
ماذا تعني نتيجة المراجعة؟
تعني وجود حقيقة أو إشارة تحتاج إلى قراءة الدليل وسياق التطبيق. لا تعني تلقائياً وجود ثغرة قابلة للاستغلال.
الأثر المحتمل
قد تنتقل أجزاء من عنوان الصفحة إلى وجهات أخرى إذا احتوى الرابط معلومات حساسة وكانت السياسة تسمح بذلك.
الشروط اللازمة لحدوث ضرر
- وجود مسار هجوم أو قدرة متصفح منفصلة تستطيع السياسة الحد من أثرها.
- أن تكون السياسة أو غيابها ذا صلة بنوع الصفحة وبنية التطبيق.
ما لم يُختبر أو يُثبت
- That sensitive data exists in URLs
- Actual referrer values sent by browsers on every navigation
قيود القاعدة
- The current evaluator recognizes only a small weak-value set and does not execute navigation scenarios.
الإجراء المقترح
دراسة تعزيز الحماية
- Select a referrer policy appropriate to the application's navigation and privacy needs.
الفائدة المتوقعة
- Can reduce unnecessary URL context sent to other origins.
أمثلة تمنع التفسير الخاطئ
لا تضيف هذه القاعدة مثالاً خاصاً؛ تنطبق عليها حدود الاجتياز والمراجعة وما لم يُختبر الموضحة أعلاه.
مراجع للتعلم
هذه المراجع تشرح المفهوم ولا تدخل وحدها في قرار القاعدة، ولا تثبت ثغرة أو امتثالاً.