<meta name = 'referrer'>が動作し、Referrer-Policyヘッダーが無効です

Question

連邦政府のWebサイトがhttps-onlyに移行しています。私たちは、そのサイトがhttpのみを使用しているときに、参照元が消えたというリンク先のサイトからの苦情を受けました。これは、デフォルトではhttps-> http downgradeが参照元を非表示にするためです。

HTTPリクエストヘッダReferrer-Policy: origin-when-cross-originを使用しようとしていますが、動作していないようです。しかし、実際には<meta name='referrer' content='origin-when-cross-origin'>とすると、ほとんどのブラウザで正しい動作が得られます。

我々は、ヘッダ設定されています

<pre> 
 
$ curl -sI https://www.ncbi.nlm.nih.gov/corecgi/tests/testref.cgi 
 
HTTP/1.1 200 OK 
 
Date: Fri, 04 Nov 2016 20:53:38 GMT 
 
Server: Apache 
 
Strict-Transport-Security: max-age=31536000; includeSubDomains; preload 
 
Content-Security-Policy: upgrade-insecure-requests 
 
Referrer-Policy: origin-when-cross-origin 
 
Content-Security-Policy-Report-Only: default-src https:; script-src https: 'unsafe-inline' 'unsafe-eval'; font-src https: data:; img-src https: data:; style-src https: 'unsafe-inline'; report-uri https://www.ncbi.nlm.nih.gov/corecgi/csp/csp.cgi 
 
Referrer-Policy: origin-when-cross-origin 
 
Access-Control-Allow-Methods: POST, GET, PUT, OPTIONS, PATCH, DELETE 
 
Access-Control-Allow-Origin: 
 
Access-Control-Allow-Credentials: true 
 
Access-Control-Allow-Headers: X-Accept-Charset,X-Accept,Content-Type,X-Requested-With,NCBI-SID,NCBI-PHID 
 
Content-Type: text/html 
 
Vary: Accept-Encoding 
 
X-UA-Compatible: IE=Edge 
 
X-XSS-Protection: 1; mode=block 
 
</pre>

をしかし、それヘッダーが動作しません：https->のhttpダウングレードリンクが送信するhttps://www.ncbi.nlm.nih.gov/corecgi/tests/testref.cgi お知らせ：

はこれを試してみてください空白のヘッダ

ただし、<meta> e https://www.ncbi.nlm.nih.gov/corecgi/tests/testref.cgi?meta=true

他に誰かがこの問題を抱えていたのですか？

Answer 1

Chromeは約ですが、かなりまだ、リファラー・ポリシーヘッダーサポートしていないように見えます：それはクローム56で利用できるようになります

• https://bugs.chromium.org/p/chromium/issues/detail?id=619228
• https://www.chromestatus.com/feature/5639972996513792

を安定している。 Chrome 53以降の旗の下にあるので、--enable-experimental-web-platform-featuresでChromeを実行して試してみることができます。

リファラー・ポリシーヘッダのサポートは、Firefox 50で出荷されます：

• https://developer.mozilla.org/en-US/Firefox/Releases/50#HTTP