Apache でリファラによるアクセス制御

Question

Apache HTTP 2.4
を利用しています。

やりたいこと
・特定のリファラからのみ参照を許可する
・リファラ(参照元)はhttps
・参照先もhttps

質問
・https→httpsのアクセスだとhttpヘッダーのリファラ、つまり参照元のURLは取得できるものでしょうか？

https→httpで確認した際は取得できていませんでした。

Answer 1

実際に試してみてはいかがでしょうか･･･？

---

さて、正確な仕様は、RFC 2616 で次のように定められています。

Clients SHOULD NOT include a Referer header field in a (non-secure)HTTP request if the referring page was transferred with a secure protocol.

またリファラの送信を制御できるメタタグがありますので必要に応じて使ってみてはどうでしょうか。詳しくはW3Cのドキュメントを参照してください。

W3C Referrer Policy

上記のRFCの内容を踏まえるとデフォルトの設定値は "no-referrer-when-downgrade" となります。

Answer 2

リファラはクライアントが自主的に送る物なので、サーバ側の設定だけではなんともならないところもあります。
あくまでクライアント側がリファラを送出する設定であった場合ですが、HTTPS→HTTPSであれば取得できます。
と言うか、HTTPS→HTTP以外の組み合わせであれば可能です。