リンクを辿るその裏側で：Refererヘッダーが運ぶ「秘密のメモ」とプライバシーの話
Webサイトを閲覧していて、別のページへ飛ぶリンクをクリックしたとき。あるいは、通販サイトの商品ページから決済画面へ移動するとき。私たちのブラウザは、裏側で驚くほどたくさんの「名刺」や「紹介状」を交換しています。
今日は、そんなWeb通信の舞台裏でひっそりと、しかし重要な役割を担っている「Referer（リファラー）」という仕組みについて、少し深掘りしてみましょう。ネットワークの専門家が、現場の視点を交えて優しく解説します。
—
1. Refererって、そもそも何者？
郵便物に例えてみましょう。あなたが誰かに手紙を出すとき、封筒の裏に自分の住所を書きますよね。あれと同じです。
Webの世界では、ブラウザが新しいページにアクセスする際、「今、どのページのリンクを踏んでここに来ましたか？」という情報を、Webサーバーに向けて「Referer」という名前のメモ用紙に書いて渡します。
- Webサーバーの視点： 「おっ、このユーザーはGoogle検索から来たのか、それともうちのサイト内のリンクを辿ってきたのか？」ということが分かります。
- なぜ必要？： 広告の効果測定や、アクセス解析、あるいは悪意あるサイトから直接攻撃を受けていないかを確認するために、この「リンク元」の情報は非常に重宝されてきました。
—
2. なぜ「プライバシーリスク」と言われるの？
便利な反面、Refererには大きな弱点があります。それは「余計なことまで喋ってしまう可能性がある」ということです。
想像してみてください。あなたが「[https://example.com/search?q=極秘の悩み相談](https://example.com/search?q=極秘の悩み相談)」という検索結果ページから、何気なく別のブログへ飛んだとします。そのとき、ブラウザは律儀に「私は[https://example.com/search?q=極秘の悩み相談](https://example.com/search?q=極秘の悩み相談)から来ました！」と、URLに含まれる検索クエリ（検索ワード）まで相手に伝えてしまうのです。
もしそのリンク先のサイトが悪意あるものだったら？ あなたのプライベートな検索履歴や、URLの中に埋め込まれた会員IDのような機密情報が、意図せず第三者に渡ってしまうリスクがあるのです。
—
3. 守りの要、「Referrer-Policy」で制御しよう
このリスクを防ぐために、現代のWeb開発では「Referrer-Policy」という設定を使います。これは、ブラウザに対して「どの程度までリンク元情報を伝えていいか」を指示するガードマンのようなものです。
HTTPヘッダーに以下のように記述することで、情報の漏洩をコントロールできます。
サーバーからの応答ヘッダーに設定する例
「HTTPSからHTTPへ移動するときは情報を渡さない」という厳格な設定
Referrer-Policy: strict-origin-when-cross-origin
よく使われる設定パラメーターの紹介
現場でよく見る設定を、少し噛み砕いて紹介しますね。
- `no-referrer`
- 意味： 「何も送るな！」
- メリット： プライバシー最強。ただし、アクセス解析が全くできなくなります。
- `origin`
- 意味： 「ドメイン名（例：example.com）だけ教えるよ。細かいページURLは内緒」
- メリット： どのサイトから来たかは分かるので、解析には便利。
- `strict-origin-when-cross-origin`
- 意味： 「同じサイト内なら詳しく教えてあげるけど、外部サイトへ行くときはドメインだけに絞るね。ただし、安全性の低いHTTP通信へは一切送らないよ！」
- 現場の評価： 現在のWebサイトで最も推奨される「バランス型」の設定です。
—
4. 現場のエンジニアが気をつけるべきこと
これからWeb開発に関わる皆さんに、一つだけアドバイスがあります。
「URLの中に、ユーザーの個人情報やトークンを含めない」
これが、Referer問題に対する最も根本的な解決策です。URLは、ブラウザの履歴やログ、そしてこのRefererヘッダーとして、いたるところにコピーが残ります。URLに機密情報を含める設計は、いわば「裏口の鍵を玄関先に置いておく」ようなもの。可能な限り避けるようにしましょう。
—
おわりに：一歩ずつ理解を深めよう
「Referer」という名前は、もともと「Referrer（紹介者）」という英語のスペルミスから生まれたと言われています。歴史の長いWebの世界では、こうした「昔のちょっとしたミス」が仕様として残り続けていることがよくあります。
最初は難しく感じるかもしれませんが、「ブラウザが次にアクセスするとき、前の場所をメモとして持っていく」という基本さえ押さえておけば大丈夫です。
パケットがネットワークを旅する姿を想像しながら、ぜひ皆さんもご自身のサイトやアプリで、この「Referrer-Policy」がどう設定されているか、ブラウザの開発者ツール（F12キー）を覗いて確認してみてください。インフラの仕組みが見えると、エンジニアとしての視界がグッと広がりますよ！
コメント