Редирект без HTTP Referer

redirect

В различного рода работе (партнерки, лендинги и т.п.) нередко возникает вопрос - как переадресовать пользователя на другую веб-страницу, при этом чтобы его браузер не передавал HTTP Referer. В Интернете существует множество сервисов, которые просто заменяют Referer на свой собственный адрес, но это тоже не всегда желаемо. Так как же получить пустой Referer?

Есть один самый надежный путь:
1. Переадресовываем пользователя на HTTPS-адрес.
2. Далее, если целевой адрес HTTP, то переадресовываем туда.
3. Иначе, переадресовываем на наш HTTP-адрес, а оттуда уже на целевой.

Эта схема гарантированно очистит Referer, однако, она достаточно муторная и иногда требует нескольких редиректов.

Если же у вас нет возможности организовывать такую схему, или вы просто не хотите слишком париться на этот счет, или даже просто интересуетесь, какие есть еще способы, то эта заметка для вас. Я расскажу, как получить максимально кроссбраузерное решение, которое переадресует пользователя на целевую страницу с пустым реферером.

Разумеется, совершить редирект, отослав браузеру заголовок (с кодом 301 или 302, например) не получится, так как браузер в этом случае удержит реферер, но не обнулит его, и даже не изменит. Придется делать решение, совмещающее в себе различные подходы. Итак, сначала я приведу код, а потом - пояснения по нему.

<?php
//Ваша ссылка, на которую осуществляется редирект
$target_link = 'http://google.com';

if(!isset($_SERVER['HTTP_REFERER']))
{
	//Если нам никто реферер не передал, то достаточно
	//просто совершить 301 редирект - браузер при этом реферера навешивать
	//не будет

	//Неплохо бы еще проверить, если у нас редирект с HTTPS на HTTP, то также
	//осуществляем 301 редирект через header(), так как браузер
	//в таком случае не передаст реферер, но эту простую задачку
	//я оставлю вам.
	header('Referrer-Policy: no-referrer'); //По поводу этого хедера - ниже.
	header('Location: ' . $target_link, true, 301);
	exit();
}

//А иначе всё не так просто
$target_link = htmlspecialchars($target_link);

//Будем делать редирект через тег <meta>.
//Это срабатывает в Firefox и IE, однако, в других браузерах не работает.

//В то же время, браузеры на движке WebKit
//(Safari, Chrome, новая Opera) поддерживают
//атрибут rel="noreferrer" у тегов <a>
$is_webkit = isset($_SERVER['HTTP_USER_AGENT'])
	&& strpos(strtolower($_SERVER['HTTP_USER_AGENT']), 'webkit') !== false;
if($is_webkit)
{
	//Ставим таймаут редиректа через тег <meta> в 3 секунды
	//(на тот случай, если в браузере выключен JavaScript).
	//Это, конечно, не удалит реферера, зато заменит его
	//на URL этого скрипта и переадресует пользователя
	//на целевую страницу.
	$meta_timeout = 3;
	//Пробуем осуществить редирект с помощью JavaScript.
	//(Это очищает Referer).
	$onload = 'onload="redirect();"';
}
else
{
	//Firefox и IE и так не шлют реферер при редиректе через
	//тег <meta>, поэтому нам не нужны извращения через JavaScript.
	$meta_timeout = 0;
	$onload = '';
}

echo <<<HERE
<!doctype html>
<html>
	<head>
		<meta http-equiv="X-UA-Compatible" content="IE=edge" />
		<meta http-equiv="cache-control" content="max-age=0" />
		<meta http-equiv="cache-control" content="no-cache" />
		<meta http-equiv="expires" content="0" />
		<meta http-equiv="expires" content="Tue, 01 Jan 1980 1:00:00 GMT" />
		<meta http-equiv="pragma" content="no-cache" />
		<meta http-equiv="refresh" content="$meta_timeout;url=$target_link">
		<title></title>
		<script type="text/javascript">
		<!--
		var redirect = function()
		{
			document.getElementById("link").click();
		}
		-->
		</script>
	</head>
	<body $onload>
		<a href="$target_link" rel="noreferrer" id="link"></a>
	</body>
</html>
HERE;

<?php

//Ваша ссылка, на которую осуществляется редирект

$target_link = 'http://google.com';

if(!isset($_SERVER['HTTP_REFERER']))

{

//Если нам никто реферер не передал, то достаточно

//просто совершить 301 редирект - браузер при этом реферера навешивать

//не будет

//Неплохо бы еще проверить, если у нас редирект с HTTPS на HTTP, то также

//осуществляем 301 редирект через header(), так как браузер

//в таком случае не передаст реферер, но эту простую задачку

//я оставлю вам.

header('Referrer-Policy: no-referrer'); //По поводу этого хедера - ниже.

header('Location: ' . $target_link, true, 301);

exit();

}

//А иначе всё не так просто

$target_link = htmlspecialchars($target_link);

//Будем делать редирект через тег <meta>.

//Это срабатывает в Firefox и IE, однако, в других браузерах не работает.

//В то же время, браузеры на движке WebKit

//(Safari, Chrome, новая Opera) поддерживают

//атрибут rel="noreferrer" у тегов <a>

$is_webkit = isset($_SERVER['HTTP_USER_AGENT'])

&& strpos(strtolower($_SERVER['HTTP_USER_AGENT']), 'webkit') !== false;

if($is_webkit)

{

//Ставим таймаут редиректа через тег <meta> в 3 секунды

//(на тот случай, если в браузере выключен JavaScript).

//Это, конечно, не удалит реферера, зато заменит его

//на URL этого скрипта и переадресует пользователя

//на целевую страницу.

$meta_timeout = 3;

//Пробуем осуществить редирект с помощью JavaScript.

//(Это очищает Referer).

$onload = 'onload="redirect();"';

}

else

{

//Firefox и IE и так не шлют реферер при редиректе через

//тег <meta>, поэтому нам не нужны извращения через JavaScript.

$meta_timeout = 0;

$onload = '';

}

echo <<<HERE

<!doctype html>

<html>

<head>

<!--

var redirect = function()

{

document.getElementById("link").click();

}

-->

</script>

</head>

</body>

</html>

HERE;

Много комментариев дано прямо в коде, но я поясню поподробнее. В скрипте скомбинировано два разных подхода к переадресации в зависимости от браузера:
1. META-редирект. Хорошо работает в Firefox и IE, очищая поле Referer.
2. Редирект через JavaScript методом программного клика по ссылке с атрибутом rel="nofollow". Это работает в последних версиях браузеров, основанных на движке WebKit (Chrome, Safari, новая Opera). На случай, если JavaScript отключен, через 3 секунды будет осуществлен META-редирект. Это не очистит поле Referer в перечисленных браузерах, но, как минимум, заменит его и в любом случае осуществит переадресацию.

Вот и все пояснения по этому решению. Надеюсь, кому-то будет полезно.

Обновление от октября 2017 года: в этом году появился новый серверный заголовок, который позволяет выключить передачу реферера даже при редиректе с HTTP-ресурса на другой HTTP-ресурс, либо при редиректе с HTTPS на HTTPS. Это Referrer-Policy, который, впрочем, пока что поддерживается малым количеством браузеров. Однако, для профилактики можно отсылать этот хедер из PHP-скрипта перед отсылкой заголовка Location. Я добавил его отправку в скрипт-пример, который опубликован выше по тексту.

Редирект без HTTP Referer: 26 комментариев

Aleks:

3 марта, 2015 в 12:36

Очень интересная статья, вообще ваш сайт один не из многих где есть полезная информация и в понятном виде для любого читателя, жаль что только редко пополняется сайт статьями.
Ещё такой вопрос, может вы могли-бы написать статью с примерами уникальной многофункциональной клоаке.
С Функциями: фильтрация поисковых ботов по списку IP адресов, определения ботов в реальном времени, возможность фильтровать по юзер-агенту.

С Ув. Алекс.

Ответить
Антон:

20 июля, 2015 в 23:54

Спасибо за рабочую информацию!
Только вот..., а можно как нибудь изменить referer?

Ответить
1. dx:
  
  21 июля, 2015 в 11:28
  
  Изменить реферер на произвольный - сомнительно. Если только использовать какие-то уязвимости браузеров (но такие сложно обнаружить, да и не стоит оно того).
  
  Ответить
Петр:

24 июля, 2015 в 22:10

А как сделать, чтобы перебрасывая через редирект, передать через него 1 или несколько нужных мне GET параметров?

Пример:
Пользователи с рекламной площадки(условно назовем его сайт http://САЙТ1.ru/ переходит по ссылке вида http://САЙТ2.ru/?param1=643213&param2=sj2823&param3=546_sq87 (значения param1, param2 и param3 для каждого пользователя задаются динамически)

Мне нужно что бы редирект, размещенный на http://САЙТ2.ru/ переадресовывал пользователя на конечный сайт партнерки (http://САЙТ3.ru/), при этом "на ходу" подставлял в конец ссылки текущие значения GET. Т.е. пользователь уходил по ссылке вида:

http://САЙТ3.ru/?SubID=%5Bparam3%5D&refIP=%5Bparam1%5D

Ответить
1. dx:
  
  27 июля, 2015 в 20:00
  
  Взять и немного дописать предложенный скрипт, чтобы пробрасывал нужные параметры
  
  Ответить
Apollo:

3 октября, 2015 в 06:17

Чем плохо повесить такую функцию на onclick?

w = window.open();
w.document.write('');
w.document.close();
return false;

Ответить
1. Apollo:
  
  3 октября, 2015 в 06:19
  
  Упс, подъелось.
  Вот код -- pastebin.com/77CKyYct
  
  Ответить
музыкальный магазин:

27 декабря, 2015 в 19:17

а как поменять рефер?

Ответить
1. dx:
  
  2 января, 2016 в 23:40
  
  Без использования каких-либо уязвимостей браузеров, скорее всего, никак.
  
  Ответить
Дмитрий:

14 января, 2016 в 15:15

Спасибо за ред с коммами внутри.
А если вставить ред в ссылку на которую осуществляется редирект типа
$target_link = 'http://anonimus.to?ссылка';
По сути реферер должен быть anonimus.to!?

Ответить
1. dx:
  
  18 января, 2016 в 12:26
  
  Не уверен, нужно проверять. Думаю, может зависеть еще от того, как этот anonymous.to редиректит.
  
  Ответить
Родион:

13 октября, 2016 в 12:58

С https не совсем ясно. Можно просто использовать header Location php? И как он работает? Например при переходе на мой https сайт, а потом с моего куда либо, какой будет реферер? Разве с помощью php поменяется реферер?

Ответить
1. dx:
  
  14 октября, 2016 в 12:03
  
  Фишка в том, что при переходе с HTTPS-сайта на HTTP реферер должен очищаться по стандарту: A user agent MUST NOT send a Referer header field in an unsecured HTTP request if the referring page was received with a secure protocol. (https://tools.ietf.org/html/rfc7231#section-5.5.2)
  
  Ответить
shonni:

5 октября, 2017 в 12:35

Очень ценная инфа!
Но что то не получается умну реализовать http -> https -> http, реферер не стирается :(
dx, подскажи пжлст, какой именно редирект должен быть на промежуточном сайте с https
Пробовал php редирект, через htaccess, но не получается, реферер остается прежним :( вторые сутки сижу с этой проблемой. Сертификат установлен корректно.

Ответить
1. dx:
  
  5 октября, 2017 в 13:18
  
  При редиректе с HTTPS на HTTP браузер должен по требованиям RFC не передавать реферер. Это указано вот здесь: https://tools.ietf.org/html/rfc7231#section-5.5.2 : A user agent MUST NOT send a Referer header field in an unsecured HTTP request if the referring page was received with a secure protocol. Если все сделано правильно, то реферер с HTTPS на HTTP-сайт передаваться не должен. Советую попробовать в другом браузере, возможно, это проблема конкретного браузера.
  
  Ответить

dx, поделитесь пжлст Вашим кодом редиректа. Думаю, что то я не правильно делаю с этим редиректом...(

Ответить

dx:

5 октября, 2017 в 21:47

Так в статье же код выложен. Я ничего нового с тех пор не придумывал. Редирект нужно делать отправкой заголовка Location от веб-сервера.

Ответить

Вот я написал код:

<?php
header('Location: http://google.com', true, 301);

1 2	<?php header('Location: http://google.com', true, 301);

Залил на https://kaimi.io/, перешел по адресу, реферера нет.

Сейчас нашел еще появившийся недавно заголовок Referrer-Policy, который позволяет осуществить редирект без реферера даже на http-сайт. Вот полный пример:

<?php
if(isset($_GET['redir1']))
{
	header('Location: http://google.com', true, 301);
	exit();
}
if(isset($_GET['redir2']))
{
	header('Location: https://google.com', true, 301);
	exit();
}
if(isset($_GET['redir3']))
{
	header('Referrer-Policy: no-referrer');
	header('Location: http://google.com', true, 301);
	exit();
}
$rand = mt_rand();
?>
<a href="?redir1=<? echo $rand ?>">Redirect to HTTP google</a>
<a href="?redir2=<? echo $rand ?>">Redirect to HTTPS google</a>
<a href="?redir3=<? echo $rand ?>">Redirect to HTTP google + referrer-policy</a>

<?php

if(isset($_GET['redir1']))

{

header('Location: http://google.com', true, 301);

exit();

}

if(isset($_GET['redir2']))

{

header('Location: https://google.com', true, 301);

exit();

}

if(isset($_GET['redir3']))

{

header('Referrer-Policy: no-referrer');

header('Location: http://google.com', true, 301);

exit();

}

$rand = mt_rand();

<a href="?redir1=<? echo $rand ?>">Redirect to HTTP google</a>

<a href="?redir2=<? echo $rand ?>">Redirect to HTTPS google</a>

<a href="?redir3=<? echo $rand ?>">Redirect to HTTP google + referrer-policy</a>

Первая ссылка будет редиректить на google с передачей реферера, а вторая и третья - без. Нужно учесть, что хедер Referrer-policy поддерживают далеко не все браузеры (https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Referrer-Policy#Browser_compatibility), поэтому пока что редирект с HTTPS на HTTP остается самым надежным вариантом.

Ответить

shonni:

5 октября, 2017 в 13:50

пробовал на разных браузерах

Ответить
shonni:

7 октября, 2017 в 11:33

Если перейти по ссылке расположенной на сайте https на сайт с http, реферер будет пустой, этто да. Но при редиректе, когда ссылка стоит на сайте с http, с нее переход на сайт с https, оттуда редирект header('Location: на сайт http, реферер сохраняется ведь :(

Ответить
1. dx:
  
  7 октября, 2017 в 20:20
  
  Действительно, Firefox, например, в таком сценарии реферер передает. Нужно в таком случае комбинировать методы. Например, по HTTPS-адресу размещаем такую страницу:
  
  XHTML
  
  <head> <meta http-equiv="refresh" content="0;url=http://google.com"> </head>
  
  1
  2
  3
  
  <head>
  <meta http-equiv="refresh" content="0;url=http://google.com">
  </head>
  
  При переходе на такую страницу с HTTP сайта нас перекинет на http://google.com, при этом Firefox и IE реферер сбросят. Я это даже проверил. Для других браузеров можно применить технику с тегом <A>, у которого выставлен атрибут rel="noreferrer", как описано в статье. Думаю, тоже должно сработать.
  
  Ответить
Дмитрий:

23 мая, 2018 в 18:51

В реферерах такое появилось android-app://org.telegram.messenger
Не убрать?

Ответить
1. Kaimi:
  
  23 мая, 2018 в 22:33
  
  Попробуй через https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Referer
  
  Ответить
Антон:

29 июля, 2018 в 15:40

А есть ли какая-то возможность сделать
$target_link = 'http://google.com';
Так, чтобы можно было указать 2 сайта = http://google.com и http://yahoo.com , и чтобы редиректило случайным выбором.

Ответить
1. Kaimi:
  
  29 июля, 2018 в 16:24
  
  Для Chrome и Firefox можно уже вообще не заморачиваться и использовать штатный заголовок Referrer-Policy (https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Referrer-Policy)
  
  Ответить
2. dx:
  
  5 августа, 2018 в 00:19
  
  Есть возможность, нужно написать
  
  $target_link = array_rand(['http://google.com', 'http://yahoo.com']);
  
  Ответить

Редирект без HTTP Referer: 26 комментариев

Добавить комментарий Отменить ответ