Referrerによるアクセスの可否

[KisaragiEffective]

• Referrer (RFC 9110)の値が存在しないときは400で拒否する
• Referrerの値が存在する時:
  • UをReferrerの値とする。
  • Uがabout:blankであれば400で拒否する (詐称の可能性が高いため)
  • Uが妥当なURIでなければ400で拒否する (HTTP Semanticsにそぐわない意味不明な値であるため。検証コストは数秒以下と見積もられる)
  • 言明: Uは妥当なURIである。
  • Uが相対URIであれば400で拒否する (APIからAPIへHTTP越しでアクセスすることはないため)
  • 言明: Uは絶対URIである。
  • UのプロトコルがHTTPまたはHTTPSでなければ400で拒否する (HTTP越しにアクセスされるため)
  • Uのホスト名が次のいずれかの条件を満たす時、302で警告ページへ飛ばす
    • ワイルドカード、*.hatenablog.com、*.hatenablog.jp、*.hateblo.jp、*.hatenadiary.com、*.hatenadiary.jp、*.2ch.net、*.2ch.sc、*.5ch.netに当てはまる
    • ホスト名をDNSに問い合わせた結果、CNAMEレコードが対象のドメインを指している
  • いずれの条件も満たさなかった時、当該リクエストを素通りさせる