Referer header ve Referrer-Policy nedir?

Kısa cevap

Referer, tarayıcının bir isteği hangi sayfadan başlattığını bildiren istek header'ıdır (adı standartta tarihsel olarak tek r ile yazılır); bir sayfadaki bağlantıya ya da görsele yapılan istekte o sayfanın adresi gönderilir. Referrer-Policy ise sunucunun yanıtla gönderdiği ve tarayıcının Referer'da ne kadar bilgi paylaşacağını belirleyen header'dır. TR7'de Referer vService Report'un Traffic görünümünde isteği yönlendiren adresler olarak listelenir, HTTP Header koşuluyla karar ölçütü yapılabilir (ör. hotlink koruması) ve WAF'ın varsayılan header kurallarında URI biçimine göre denetlenir. Referrer-Policy, Manage HTTP Security Headers aksiyonunun Response Headers alanında Referrer-Policy (no-referrer-when-downgrade) seçilerek yanıta eklenir.

TR7'de Nerede Kullanılır

Nerede	Alan / etiket	Ne için
Load Balancer → Load Balancer vService List → vService → Report → Traffic	Referer	İsteklerin hangi sayfalardan geldiği
Load Balancer → Conditions (Policy Match) → HTTP Header koşulu	Header Name: Referer	Referer'a göre karar (ör. hotlink koruması)
Load Balancer → Actions (Policy Actions) → Manage HTTP Security Headers aksiyonu	Response Headers → Referrer-Policy (no-referrer-when-downgrade)	Referrer-Policy header'ını yanıta ekleme
Load Balancer → Profiles (L4-L7 Behavior Sets) → Logs → log formatı	Apache Combined Log Format ( Standard + Referrer + User Agent ), Apache VHost Log Format ( Vhost + Standard + Referrer + User Agent )	Referer'ı log satırına yazma
WAF → WAF-Protected vService List → WAF Management → Any Paths kuralı → Header	Varsayılan header kuralları → referer	Referer değerinin URI biçimine ve en fazla 4096 karakter uzunluğa uyduğunu denetleme
Bot/DDoS → Bot/DDoS Protected vService List → Bot/DDoS Management → Bot Protection → Factors	Behavioral Analysis → No Referer On Mutation	POST, PUT, PATCH ya da DELETE isteğinde Referer olmamasını bot skoruna yansıtma

Referrer-Policy (no-referrer-when-downgrade) değeri, HTTPS sayfadan HTTP adrese yapılan isteklerde Referer'ı göndermez; diğer isteklerde tam adresi gönderir (Referrer Policy · W3C). Güvenlik header'larının birlikte eklenmesi: Güvenlik header'larını (CSP, HSTS, X-Frame-Options) backend'e dokunmadan ekleyebilir miyim?

Sık Karıştırılan Noktalar

• "Referer güvenilir bir kaynak bilgisidir." Değeri istemci yazar; değiştirilebilir ya da hiç gönderilmeyebilir. Hotlink koruması gibi kararlarda yardımcı ölçüttür, tek başına erişim denetimi için yeterli değildir.
• "Referrer-Policy isteği etkiler." Referrer-Policy bir yanıt header'ıdır; tarayıcının o sayfadan sonraki isteklerde Referer'ı nasıl göndereceğini belirler. Manage HTTP Security Headers aksiyonu yalnızca yanıt aşamasında ve koşulsuz çalışır.
• "Referer ile Referrer aynı yazılır." İstek header'ının standart adı Referer'dır (tek r); politika header'ı Referrer-Policy olarak çift r ile yazılır.

Dokümantasyonda nasıl yapılır

• HTTP header koşulu · Referer bazlı hotlink koruması
• Manage HTTP Security Headers · Seçilebilir güvenlik başlıkları
• Report · HTML raporu
• Header · Varsayılan header kuralları

İlgili sorular

• Varsayılan header kuralları nelerdir?
• Güvenlik header'larını (CSP, HSTS, X-Frame-Options) backend'e dokunmadan ekleyebilir miyim?
• HTTP security header'ları nedir?
• HTTP Header nedir?