Почему это риск
Без Referrer-Policy URL страниц с чувствительными данными (токены сброса пароля, ID заказов, личные параметры) передаются в заголовке Referer при любом переходе — включая клик на рекламу, переход на сторонний сайт, загрузку сторонних скриптов.
Как исправить
Шаг 1
Nginx: add_header Referrer-Policy "strict-origin-when-cross-origin" always;
Шаг 2
Apache: Header always set Referrer-Policy "strict-origin-when-cross-origin"
Шаг 3
strict-origin-when-cross-origin: передаёт только домен при cross-origin, полный URL при same-origin
Шаг 4
no-referrer: полностью убирает Referer заголовок
Шаг 5
same-origin: Referer только при переходах внутри сайта
Как AuditGuard обнаруживает проблему
AuditGuard проверяет наличие Referrer-Policy в ответных заголовках и оценивает значение на безопасность.