INFO: Internet Explorer がセキュリティで保護されていない状況で参照元ヘッダーを送信しない

概要

Internet Explorer 4.0 以降でドキュメント間をリンクする場合、HTTPS ページから HTTPS 以外のページへのリンクの場合、Referer ヘッダーは送信されません。 また、リンクが http(S) 以外のプロトコル (file:// など) から別のページに送信されている場合も、Referer ヘッダーは送信されません。

詳細情報

Referer ヘッダーは、"Referer: <URL>" という形式の標準 HTTP ヘッダーで、現在要求されている URL へのハイパーリンクを含むページの URL を Web サーバーに示します。 ユーザーが "http://example.microsoft.com/default.htm" から "http://example.microsoft.com/test.htm" へのリンクをクリックすると、理論上の web サーバー example.microsoft.com "http://example.microsoft.com" という形式の参照元ヘッダーが送信されます。


ただし、セキュリティで保護されていないサイトにセキュリティで保護されたデータが誤って送信される可能性がある状況では、Internet Explorer は Referer ヘッダーを送信しません。 たとえば、Internet Explorer では、次の例のハイパーリンクのそれぞれについて、1 つのドキュメント URL から別のドキュメント URL に Referer ヘッダーは送信されません。

        
javascript:somejavascriptcode --> http://example.microsoft.com
file://c:\alocalhtmlfile.htm  --> http://example.microsoft.com
https://example.microsoft.com --> http://www.microsoft.com

これにより、ローカル コンテンツから Web サイトにリンクするときに、そのような情報を詮索する可能性のあるローカル ファイル名が Web サーバーに誤って送信されるのを防ぎます。 また、多くのセキュリティで保護された (HTTPS) Web サーバーは、CGI または ISAPI サーバー アプリケーションへの GET 要求中に、URL にクレジット カード データなどのセキュリティで保護された情報を格納します。 この情報は、"https://" サーバーから Web 上の他の場所にある "http://" サーバーにリンクするときに、参照元ヘッダーで無意識のうちに送信できます。 Internet Explorer は、HTTPS URL から HTTPS 以外の URL に移行するときに Referer ヘッダーを送信しないことで、この不適切な方法を防ぎます。