Firefox 87が登場――新しいリファラーポリシーでユーザーデータをより強力に保護

Mozillaは本日、Firefox 87をリリースしました。今回のアップデートには、サイト間を移動する際のプライバシーを守るための新機能が搭載されています。

その仕組みは、FirefoxがデフォルトでHTTPリファラーをトリミング(短縮)するようになったことにあります。ヘッダーからクエリ文字列の情報を取り除くことで、ユーザーのデータをより確実に保護します。

リファラーヘッダーとは?

あるウェブサイトから別のウェブサイトへ移動するとき、HTTPリファラーヘッダーは、移動先のサイトに対して「どのサイトから来たのか」という情報を伝えます。

通常、リファラーヘッダーには、直前に閲覧していたウェブサイトの完全なURLが含まれています。

リファラーヘッダーは、サイト運営者がトラフィックの流入元を把握するうえで役立つだけでなく、ログの記録やキャッシュの最適化など、さまざまな用途にも活用されています。

しかし場合によっては、リファラーヘッダーにプライベートなデータが含まれることもあります。例えば、サイト内のどのページを見ていたかという詳細情報や、メールアドレスといったより機密性の高い情報が含まれるケースもあるのです。

Firefoxの新しいリファラーポリシーとは?

Mozilla Security Blogによると、Firefox 87には新しいリファラーポリシーが導入されました。これは、以前導入された強化型Cookie保護に続く、ユーザーデータ保護に向けたさらなる一歩です。

実は2016年頃から、ブラウザにはリファラーポリシーが段階的に導入されてきました。しかしその主な目的は、HTTPSサイトからHTTPサイトへ移動する際のユーザー保護でした。HTTPSからHTTPSへの通信では、完全なリファラーURLが送信されるのが一般的だったのです。ところが今やHTTPS接続がウェブの標準となり、従来のポリシーは時代遅れになりつつありました。

そこでMozillaの新しいポリシーは、「strict-origin-when-cross-origin」と呼ばれる方式を採用しています。これにより、URLに含まれる可能性のあるユーザーの機微情報、たとえば末尾に付加されたパーソナライズ済みのパラメータなどが自動的に削除されます。

この処理は、移動元と移動先の両方のサイトが安全な接続(HTTPS)を使用している場合でも適用されます。

さらに、このポリシーは外部リンクのクリック時に限らず、ブラウザ内でのあらゆる遷移に適用されます。ブログ記事では次のように説明されています。

このアップデートにより、Firefoxはナビゲーションリクエスト、リダイレクトリクエスト、そしてサブリソース(画像・スタイル・スクリプト)リクエストのすべてに、新しいデフォルトのリファラーポリシーを適用します。これによって、大幅にプライバシー性の高いブラウジング体験が実現されます。

Firefoxユーザー側で特別な設定や操作は一切必要ありません。Firefox 87は本日から全ユーザーへ展開されるため、通常のブラウザ更新とともにこの機能が届き、以降のブラウジングには自動的に新しいポリシーが適用されます。

Firefoxは「プライバシーのブラウザ」になれるか?

Firefoxがプライバシー保護を継続的に強化しているのは喜ばしいことです。ただし、匿名ブラウジングに特化したブラウザと比べれば、まだ十分な安全性を備えているとは言い難いのも事実です。それでも、平均的なユーザーにとって、こうした意識せずに受けられる受動的な保護は、確かな前進だと言えるでしょう。