Le Referrer (le Référent), dans toutes les requêtes HTTP (clics sur un lien ou accès au moindre objet Web), indique au serveur d'où vous venez. Le Referrer vous permet de revenir à la page précédente, mais permet aux trackers de vous suivre de page en page (clickStream).

cr  01.04.2012      r+  22.10.2024      r-  22.10.2024      Pierre Pinard.         (Alertes et avis de sécurité au jour le jour)

« Referrer » est un terme anglais courant, le terme français « Référent » n'étant quasiment pas utilisé.

Le « Referrer » est le nom d'un champ (une zone) de l'entête des Requêtes HTTP, sur le Web, qui identifie l'URL (l'adresse, l'URI, le lien hypertexte) qui a été à l'origine d'une demande d'accès à une ressource. En gros, lorsque vous atterrissez sur une page Web, celle-ci (son serveur) sait d'où vous venez (parmi bien d'autres informations), ou si la page Web que vous visitez contiend des appels à des objets Web (images, vidéos, sons, documents texte ou PDF..., scripts, web-bug, publicités, etc.), tous les serveurs de tous ces objets savent de quelle page à telle adresse IP viennent ces appels à ces objets Web (donc qui vous êtes et sur quelle page vous êtes, quelle page vous visitez).

Le « Referrer » est d'un usage qui peut sembler, techniquement, totalement anodin, utile et légitime. Par exemple, il permet à votre navigateur Web de vous faire revenir à la page précédente lorsque vous cliquez, dans votre navigateur, sur le bouton « Reculer d'une page ».

Lorsque vous naviguez sur les Web :

• Vous passez à une troisième page la seconde sait d'où vous venez.

• Vous passez à une quatrième page la troisième sait d'où vous venez.

• Vous passez à une cinquième page la quatrième sait d'où vous venez.

• Vous passez à une sixième page la cinquième sait d'où vous venez.

• Vous passez à une septième page la sixième sait d'où vous venez.

• Etc., etc., etc.

C'est le Clickstream - « Flux de clics » - « Votre flux de clics »

C'est la surveillance absolument constante, par des milliers de surveillants/trackers, la collecte et l'enregistrement de tous vos mouvements sur le Web, depuis la première fois que vous vous y êtes connecté. Avec la totalité des autres informations sur vous et votre appareil contenues dans les entêtes des Requêtes HTTP, -

Epier/surveiller chaque internaute - Tout ce à quoi vous vous intéressez, ils le savent.

Vous visitez 200, 300, 500 pages par jour (probablement plus de 1000 par jour pour certains, comme moi).

Bon ! Et alors ?

Et alors ?... Les opérateurs du Web cherchent à être présents dans tous les sites Web du monde. Par exemple, vous ne pouvez échapper à Google et son Principe d'encerclement, ou à Microsoft et son principe d'encerclement, ou à Apple et son principe d'encerclement, etc. Pour une raison ou pour une autre, les opérateurs du premier cercle du pouvoir sont présents partout, à tous les étages.

Et alors, direz-vous !

Et alors ?... Vous avez entendu parler des GUID ? Ce sont des identificateurs uniques liés à votre matériel et à vos logiciels. Quelle que soit votre méthode de navigation sur le Web, même si vous saisissez l'adresse (URL) où vous voulez aller dans la barre d'adresse de votre navigateur Web, pour échapper au « Referrer » (il n'y a pas de « Referrer » dans ce cas), le GUID vous rattrape et de nombreux opérateurs du Web vous suivent à la trace et reconstituent la totalité de votre navigation. Ils trouvent même que les cookies sont trop combattus et ne sont plus d'aucune utilité. Ils ont inventé le fingerprinting.

Et alors, me direz-vous ?

Et alors ?...

Dans toutes vos pages visitées, aujourd'hui, ces derniers jours, mois, années... depuis que vous vous êtes connecté sur le Web la première fois, il y a des années, pages que des centaines d'opérateurs connaissent et conservent dans des bases de données illimitées et se vendent et s'achètent entre eux, il ressort que :

• Vous avez visité plusieurs pages traitant du sida, de ses thérapies, de l'hôpital Gustav Roussy à Villejuif, de Sida Info Service, de molécules farfelues prétendant guérir du sida, etc. D'innombrables opérateurs du Web en déduisent, par analyse de votre navigation, que vous avez le Sida. Un employeur peut acheter cette information et rejeter votre candidature. Une compagnie d'assurances peut acheter cette information et ne pas prendre le risque de vous assurer. Un conjoint potentiel peut acheter cette information et répondre « Non ». Votre progression de carrière peut être détruite. Vos cercles de connaissances peuvent s'évaporer. Etc. Parceque vous avez été profilé.

• Depuis plusieurs jours, mois, etc. vous visitez des sites de recettes de cuisines, ou de produits alimentaires cacher. Vous pouvez être juif ou musulman. Mais vous ne faites jamais de connexion Internet le samedi (du vendredi soir au samedi soir). Vous êtes juif.

• Depuis plusieurs jours, mois, etc. vous visitez des sites de casting pour enfants. Vous pouvez avoir des enfants et vouloir les faire connaître et reconnaître dans les métiers du spectacle/cinéma, etc. Oui, mais, vous fréquentez aussi des sites pornographiques avec, dans les pages visitées, des mots clés comme « Teen » etc. Vous êtes probablement un déviant sexuel, voire un pédophile à surveiller.

• Des explosifs, armes, munitions, plans de fabrication d'explosifs, etc. Terroriste !

• Des drogues, etc. Drogué !

• Des produits culinaires professionnels, etc. Chef de cuisine !

• Du viagra, etc. impuissant !

• Des retardateurs, huiles, vibro, préservatifs, etc. Actif !

• Des caméras invisibles, des sites pornos, etc. Voyeur !

• Des médicaments anti-cholestérol, des appareils de mesure du taux de cholestérol, des régimes et aliments anti-cholestérol ou 0%, etc. Personne à risque : ne pas assurer ou majorer sa prime d'assurance... Le métier des assureurs/assurances n'est pas de couvrir un risque mais de ne pas prendre de risque afin de salarier des actionnaies.

• Des médicaments anti-diabète, des appareils de mesure du taux de sucre, des régimes et aliments anti-diabète ou sans sucre, etc. Personne à risque : ne pas assurer ou majorer sa prime d'assurance...

• Vous vous étalez et faites votre profil vous-même sur un site de rencontre. Vous êtes immédiatement la cible d'escrocs, la victime d'escroqueries à la romance, d'escroqueries aux marabouts, voyants, abus de faiblesse, etc.

• Etc.
  Vous pouvez tout imaginer, et surtout imaginer que cela se retourne contre vous. Et nous ne parlons pas de vos bavardages sur les réseaux sociaux, qui révèlent vos cercles de connaissances, votre niveau intellectuel, votre niveau socioculturel, votre classement CSP+ CSP CSP- (Catégories socioprofessionnelles), vos photos publiées avec leurs données EXIF et les reconnaissances faciales que pratiquent de nombreux opérateurs du Web, etc.

Le « Referrer », c'est une partie de votre vie privée qui s'étale et, comme votre vie et de plus en plus virtuelle, sur le Web, c'est toute votre vie qui s'étale (pensez aux dégats des signaux de tous les appareils connectés, signaux non chiffrés, faciles à capter et capturer et appareils non protégés).

Et le « Referrer » dans tout ça ? En fait, qu'est-ce que c'est ?

Le Web fonctionne, sur le réseau Internet, dans un mode dit « Client / serveur ».

Dans le cas le plus connu, il s'agit d'une interaction entre un utilisateur internaute qui, avec son client de navigation (Firefox, Microsoft Internet Explorer, Microsoft Edge, Opera, Google Chrome, Safari, K-Meleon,, etc.) ou son client de messagerie (Thunderbird, IncrediMail, etc.), clique sur un lien pour aller ailleurs sur le Web. Chaque fois que vous cliquez sur un lien, pour consulter une page Web, votre navigateur, appelé le « client », va chercher cette page sur un ordinateur distant, appelé le « serveur » : il fait une « requête ». Il n'y a pas que les navigateurs qui font cela :

• Toutes les applications connectées font des « requêtes » et sont, à un moment donné, « clientes ».

• Il n'y a pas forcément une interaction entre un utilisateur et le Web. Des applications peuvent faire des « requêtes », qui seront de la même forme (recommandation du W3C), de leur propre chef. Votre antivirus, par exemple, fait une « requête » de mise à jour de sa base de signature toutes les 10 ou 15 minutes.

Une page Web est constituée d'énormément d' « objets » (images, sons, scripts, APIs, vidéos, fichiers, Web-Bug, boutons « J’aime », feuilles de style, frameworks divers, publicités, statistiques pour le webmaster, etc. ...) qui se trouvent sur le même serveur ou sur des « serveurs tiers ». Chaque appel à l'un de ces objets se fait par une « requête » au serveur détenant la ressource.

Une page Web envoie donc énormément de requêtes à énormément de « serveurs », l'un étant le serveur de la page visitée et tous les autres des « serveurs tiers », un peu partout dans le monde, on ne sait où, appartenant à on ne sait qui.

Pour des raisons historiques de développement, test et mise au point du Web, diverses informations sont « passées », par le client, dans chaque « requête ». l'une de ces informations est l'URL (l'adresse sur le Web) de la page Web d'où vient la « requête » (« Coucou, je suis la page « http://monpetitsite.fr/page truc bidule.html », c'est moi qui fais cette requête et, s'il y a un problème, vous pouvez remonter jusqu'à moi pour chercher l'erreur »). Savoir d'où vient la « requête » est très utile dans ce cas là.

Il a vite été découvert d'autres utilités, d'autres intérêts à la présence systématique de cette information :

• Un webmaster développe un site, le dépose sur un serveur, et fait prendre note, par le serveur, de toutes les pages du Web qui pointent vers son site. Ceci permet au webmaster de savoir quels sites du Web parlent de son site. Très précisément, cela permet au webmaster de suivre ces liens pour lire ce qui est dit/écrit à propos de son site et s'en servir pour répondre, ou, au contraire, pour corriger / compléter son propre site, etc. Ceci sert en SEO et Webmastering.

• Pour des raisons de contrôle d'accès, un webmaster peut ne donner accès à son site, ou à certaines de ses pages, qu'à partir du moment où le visiteur vient d'une liste restrictive d'URLs. Le « Referrer » est alors comparé à cette liste restrictive et les requêtes non conformes sont rejetées.

• Un Webmaster peut demander au serveur de son site de noter dans un journal les erreurs de type 404 (la page/la ressource demandée sur son site n'est pas trouvée/n'existe pas) afin de savoir quelles pages, sur le Web, font des erreurs de liens ou quels objets n'ont pas été uploadés sur le serveur. Le webmaster écrira alors aux Webmasters de ces autres sites pour les inciter à corriger les liens erronés (ce qui est important en SEO).

• Etc.

Où est le problème (où sont les problèmes) ?

Il y a deux problèmes :

• La surveillance (de tous les internautes du monde)

• La solution technique pour arrêter cette surveillance

En cas d'interaction entre un internaute et le Web, par navigateur interposé, l'internaute dit, à son insu : j’étais en train de lire cette page juste avant de demander à aller sur telle autre.

Il tombe sous le sens que si un individu se pointe derrière votre épaule et vous colle à la peau, même 1 minute, pour noter ce que vous lisez dans le journal (vos intérêts politiques, économiques, people, nouvelles technologies, sports, arts culinaires, concerts, spectacles, nécrologie, santé, voyages, manifestations et grèves, religions, etc.), ce que vous consommez (dans votre assiette, verre, etc.), ce que vous regardez (à la télévision, au cinéma, dans une salle de concert, à l'opéra, dans un cafconc, dans la rue, etc.), à quel temple, église, synagogue, mosquée vous allez, les personnes que vous rencontrez, les discussions que vous avez, les médicaments que vous achetez, les médecins que vous allez voir (géolocalisation à quelques centimètres près), les hôpitaux où vous allez, les magasins où vous entrez (programmatique), etc. :

1. Cet individu tente de savoir ce à quoi vous vous intéressez, vos maladies, vos habitudes, votre catégorie socioprofessionnelle, tout de vous...

2. Vous lui fichez votre poing dans la figure, vous lui arrachez son matériel avec lequel il prend ses notes sur vous et vous le détruisez

Normal, non ! Tout cela ressemble aux surveillances exercées par les anciens RG, à de l'espionnage, de la prise en filature, et est inadmissible.

Sur le Web, avec le « Referrer », ce sont des centaines de serveurs (et donc des centaines de propriétaires de ces serveurs, des inconnus on ne sait où), qui prennent ces notes, en temps réel, en continu, 24/24 365/365.

Est-ce parce que c'est silencieux, invisible, qu'il faut laisser faire ? Car, avec les centaines de pages visitées chaque jour, tout cela noté depuis le premier jour où vous vous êtes connecté sur le Web, tous ces gens analysent le moindre de vos faits et gestes, le moindre de vos centres d'intérêt, le moindre de vos états (mental, santé, situation financière, amis, connaissances, relations professionnelles, risques, désirs, catégorisation sociale, catégorisation professionnelle (CSP), penchants, déviances, fragilités, faiblesses, malléabilité, religions, haines, etc.).

Ils vous connaissent mieux que vous ne vous connaissez vous-mêmes, mieux que votre mère ne vous connaît.

La communication des « Referrer » est l'une des plus graves atteintes à la vie privée. Ce risque et cette violation sont connus de longue date :

De nombreux documents, appelés RFC, depuis près de 25 ans lors de la rédaction de cet article (2016), font état de cette atteinte à la vie privée.

Avec le champ « Referrer », la fondation Mozilla (éditrice du navigateur Web Firefox) a tenté de mettre en place ce commutateur « autorisation/opposition » avec le switch « DNT - Do Not Track ». Mais cela s'est heurté à un tollé, une levée de boucliers, une hostilité débridée de la part de tous les opérateurs de tracking et collecte/rétention de données privées du Web (dont les publicistes qui sont et font le modèle économique du Web).

« DNT - Do Not Track » a alors été fait de telle manière qu'il ne soit plus « actif » (comme peut l'être une demande de retrait d'un numéro de téléphone des annuaires téléphoniques), mais exprime simplement un souhait de l'internaute. Le respect de l'application de ce souhait est entre les mains des opérateurs des serveurs et serveurs tiers. Cela devient une histoire de « confiance » dans le respect des choix des internautes par ces opérateurs, or les opérateurs ont carrément dit qu'ils ne le respecteraient pas. Après des années de tergiversations, « DNT - Do Not Track » est toujours en discussions et, dans la réalité, est totalement dans l'impasse (DNT n'a jamais existé et n'existe plus).

Ont été avancés, de manière publique, ou dans le cadre de commissions très discrètes :

• Une nécessité économique :
  La publicité est le seul modèle économique du Web, il n'y en a pas d'autre (mis à part le Web marchand). Le « Referrer » permet la surveillance et l'espionnage des internautes (enfin... ce n'est pas dit en ces termes) afin d'affiner leur profils et donc de délivrer des messages publicitaires mieux ciblés : une meilleure économie du Web.

• Une nécessité sécuritaire :
  La surveillance de tous les citoyens de tous les pays du monde, après le 11 septembre, conformément aux Constitutions, qui font obligations aux gouvernants de protéger les citoyens. Les NSA et toutes les agences de l'ombre de tous les pays du monde s'en délectent. En plus, dans les dictatures et les hyper capitalismes (pays communistes), c'est la chappe de plomb et la censure totale au prétexte de sécurité nationale et de pensée unique (mensonges, tromperies et oeillères).

La confiance est vraiment la dernière chose à laquelle on peut s'attendre sur le Web.

Les sites ont déclaré ouvertement qu'ils ne respecteraient pas « DNT - Do Not Track ».

Les « RFC » du W3C ont peut être, dans la pratique, valeur de « normes » du Web, mais elles restent des « recommandations ». Elles n'emportent aucune obligation, et, surtout, elles ne contraignent pas et n'appliquent pas de sanctions.

Donc, pour que l'internaute ait réellement ce contrôle sur les « Referrers » il doit se prendre en charge lui-même et installer, dans son navigateur, un commutateur permettant de s'opposer à l'envoi d'informations concernant sa vie privée.

Il faut toutefois savoir que certains sites s'opposent totalement à l'absence de « Referrer » :

• Officiellement pour contrôler des choses comme l'utilisation de leurs images dans d'autres sites (afin de préserver leurs hébergements et leur bande passante)

• Officieusement, car la surveillance et l'espionnage des internautes permet d'affiner leurs profils et donc de délivrer des messages publicitaires mieux ciblés, plus efficaces.

• Silencieusement, car la surveillance et l'espionnage de tous les citoyens du monde est le Graal des NSA et Cie (tous les pays du monde ayant leur équivalent NSA).

• Utilisez Referrer-Control.

• Paramétrez votre navigateur pour un Stop tracking.

L'utilisateur peut installer une extension gérant la privacité du contenu du champ Referrer, par exemple en le tronquant au nom du domaine seul, sans le nom complet de l'URL, ou en le remplaçant par une valeur légale, comme « about:blank ». Seul le client (celui qui fait la requête à un serveur : le navigateur Web) doit être autorisé à faire cela, d'une manière bien maîtrisée par l'utilisateur. Aucun proxy ou autre dispositif intermédiaire ne doit interférer.

Note :
Un webmaster peut parfaitement demander à ce que ses requêtes HTTP vers des serveurs externes (autres que son propre serveur) ne contiennent pas de referrer (ceci est légal depuis HTML 5). Il suffit d'écrire (attention : referrer avec 2 « r » contrairement à la faute historique du nom du champ, dans l'entête et dans la RFC, qui est écrit avec un seul « r ») :
Lien sans referrer
<a title="#" rel="noreferrer" href="https://quelquepart.com" target="_blank">Lien sans referrer</a>