Referrer-Policy für Astro konfigurieren

Referrer-Policy per Middleware (SSR)

Setzen Sie den Header in src/middleware.ts. Die Middleware laeuft bei jedem SSR-Request und setzt den Header konsistent für alle Seiten. Für sensible Bereiche wie das Dashboard können Sie no-referrer verwenden, für öffentliche Seiten strict-origin-when-cross-origin.

// src/middleware.ts -- Referrer-Policy (SSR)
import { defineMiddleware } from 'astro:middleware';

export const onRequest = defineMiddleware(async (context, next) => {
  const response = await next();

  // Empfohlen: Herkunft bei Cross-Origin, volle URL bei Same-Origin
  response.headers.set('Referrer-Policy',
    'strict-origin-when-cross-origin');

  return response;
});

// src/middleware.ts -- Maximaler Datenschutz
import { defineMiddleware } from 'astro:middleware';

export const onRequest = defineMiddleware(async (context, next) => {
  const response = await next();
  const url = new URL(context.request.url);

  // Sensible Bereiche: kein Referrer an Drittanbieter
  if (url.pathname.startsWith('/dashboard')) {
    response.headers.set('Referrer-Policy', 'no-referrer');
  } else {
    response.headers.set('Referrer-Policy',
      'strict-origin-when-cross-origin');
  }

  return response;
});

Werte vergleichen

strict-origin-when-cross-origin ist der beste Kompromiss: Analytics-Tools erhalten die Herkunft, aber keine vollständigen URLs. no-referrer bietet maximalen Datenschutz, kann aber Analytics und Affiliate-Links beeinträchtigen. same-origin sendet den Referrer nur bei internen Links -- ebenfalls eine gute Wahl für sensible Anwendungen.

# strict-origin-when-cross-origin (Empfohlen)
# Cross-Origin: nur Origin (https://ihre-domain.de)
# Same-Origin:  volle URL (/dashboard/domains?page=2)

# no-referrer (Maximaler Datenschutz)
# Cross-Origin: kein Referrer
# Same-Origin:  kein Referrer

# same-origin (Guter Kompromiss)
# Cross-Origin: kein Referrer
# Same-Origin:  volle URL

Per-Link Referrer-Policy in Astro-Templates

Neben dem HTTP-Header können Sie Referrer-Policy per referrerpolicy-Attribut auf einzelnen Links setzen. Das ist nuetzlich, wenn bestimmte Links einen stärkeren Datenschutz benötigen als der globale Header vorgibt.

In Astro-Templates setzen Sie das Attribut direkt auf <a>-Tags: <a href="https://extern.de" referrerpolicy="no-referrer">. Dies überschreibt den globalen HTTP-Header für diesen spezifischen Link. Besonders relevant für externe Links aus dem Dashboard, die keine Referrer-Informationen weitergeben sollen.

Wolf-Agents setzt referrerpolicy="no-referrer" auf alle externen Links im Dashboard, während der globale Header strict-origin-when-cross-origin für die öffentliche Website verwendet wird. So wird der Datenschutz maximiert, ohne die Analytics-Funktionalität der Marketing-Seiten zu beeinträchtigen.

Auch für Ressourcen-Tags wie <img>, <script> und <link> können Sie das referrerpolicy-Attribut setzen. Das ist relevant, wenn Bilder von externen Servern geladen werden und der Referrer-Header die aktuelle URL des Benutzers verraten wuerde.