Via bepaalde online scanners, denk aan DOM XSS issue scanners,
kun je gewoon nog de http variant van een https site openen.
Dat met alle mogelijke gevolgen van dien, als de connectie met wat erachter ligt niet goed beveiligd is..

Met http only is een Intellitamper scan een optie om te zien wat de back-end (php) "te bieden"heeft,
o.a. in combinatie met shodan.io IP scannetjes etc.

Firefox verbergt dus het laaghangende fruit voor "abuse" via de browser,
maar er blijven altijd andere methoden om HTTP Referrer lekken te vinden.

E.e.a. kan ook door researchers gebruikt worden om juist te beschermen tegen eventueel misbruik.

Met een hamer kan men immers beeldhouwen en ook ruineren, zoals ook feitelijk met alle Internet-tools,
waarvan akte,

#sockpuppet

Ik heb nooit begrepen waarom Mozilla, die zegt de privacy van gebruikers te beschermen, dat niet veel eerder gedaan heeft want referers schenden nu eenmaal je privacy. Niet dat we er in dit kutland nog enige fidussie in moeten hebben dat we nog iets van privacy hebben, nu de schwappies ons naar de grote reset aan het dwingen zijn, maar zolang je privacy schendingen om zeep kan helpen moeten we dat ook zeker doen.

Gebruik CleanURL's add on in Firefox.

Installeer eens Firefox op telefoon of pc. Openen en werp dan een blik in jouw firewall. Dan word je duidelijk dat Mozilla niet heel veel opheeft met jouw privacy. Het eerste wat het doet is data delen met Google en daar blijft het niet bij.

Is er dan een andere betere/veiligere browser? Nee helaas. Afgezonderd van Tor.

Wat heeft Nederland te maken met Mozilla?
En Mozilla bood websites toch de optie om het te beperken (dan mag je dus de website eigenaar erop aanspreken).

De referer header kan nog wel eens gebruikt worden voor CSRF bescherming. Als je hem dan helemal eruit haalt werkt een website niet meer. Juist het web heeft baat bij een grote mate van backwards compatabiliteit. Dan wil je niet iets aanpassen met het risico dat een oude(re) website opeens niet meer werkt. Bovendien is het al enige tijd mogelijk om via een opt-in een privacy-vriendelijkere keuze te maken.

Al eens naar ungoogled-chromium gekeken? Wacht, ik weet het antwoord al.

Jammer dat Chameleon niet werkt op Android.
Wel blij met Blokada (komt echter niet via de Google Playstore).

Ps.zelfs tor is niet safe

Volgens mij begrijp jij heel fundamentele zaken over het web niet. De S in HTTPS slaat op de versleuteling van het transport van de HTML, CSS en andere onderdelen waaruit een webpagina wordt samengesteld. De ontvanger van die gegevens, of het nou je webbrowser is of een van de scanners waar je aan refereert, beschikt gewoon over de HTML etc. en kan die dus ook analyseren en laten zien. Daar is geen HTTP-variant voor nodig, omdat het ook bij HTTPS de bedoeling is dat de ontvanger van de gegevens ze ontsleutelt. HTTPS dient immers niet om het gebruik van de verzonden gegevens door de ontvanger te blokkeren, maar enkel om te faciliteren dat het onderweg niet door derden wordt bekeken of aangepast.

Als jij via zo'n online scanner een website inspecteert heb jij een HTTPS-verbinding met die scanner, en die scanner heeft een afzonderlijke HTTPS-verbinding met de website. HTTPS is niet bedoeld om end-to-end-versleuteling over deze twee verbindingen heen te regelen en zo de scanner het werk onmogelijk te maken. Jij bent een client voor de scanner, de scanner is een client voor de geïnspecteerde website.

Het gaat er hier om dat als een gewone gebruiker met een gewone browser website A heeft bezocht, en daar bijvoorbeeld op de pagina https://website-a.tld/gebruikersnaam/zoek?s=zoekterm zit, en van daaruit doorklikt naar website B, op https://website-b/tld/whatever, dat de webserver van website B dan niet de gebruikersnaam of de zoekterm ontvangt, of andere persoonlijke gegevens die mogelijk in de URL opgenomen zijn, maar alleen https://website-a.tld/ of, als website B een http-site is, zelfs helemaal niets.

Het gaat niet om abuse via de browser, maar om mogelijk misbruik door websites van gegevens die browsers als onderdeel van hun normale werking doorgeven aan websites. Dat misbruik loopt niet via de browser omdat het helemaal op de server wordt gedaan zonder dat er ook maar iets anders gaat in de browser dan zonder dat misbruik zou gebeuren. De oplossing is om servers default die informatie niet meer te geven.

Dat je nog allerlei analyses en scans op websites los kan laten en daarbij mogelijk allerlei kwetsbaarheden vindt staat hier los van, dat zijn niet de HTTP Referrer-lekken waar men het hier over heeft.

Ik krijg weer vertrouwen te krijgen in firefox, maar ik vraag mij af waarom ze dat zo laat doen, was het misschien wat te complex dit te implementeren? In ieder geval verwacht ik geen verbetering in palemoon, daar duurt het altijd jaren vooralleer die functies worden toevoegd.

Ik heb ook nog een ander gebruik van http-referrer meegemaakt.
Ergens in het jaar 2015 heb ik me suf gezocht naar de nieuwste mp3-plugin voor Audacity.
Ik weet niet hoe het nu is, maar toen bleek voor zover ik kon nagaan dat er op de hele wereld 1 enkele persoon was
(ergens is Zuid-Amerika) die zich hiermee bezig hield.
Alleen hij gebruikte zijn server ook wel eens een periode voor eigen projecten, en dan was de server niet beschikbaar voor downloaden. Helaas net op het moment dat ik het nodig had... Dagenlang... Maar ik had dat bestand direct nodig.

Dus ik het internet verder afgezocht of er niet ergens anders een "second source" was, en warempel:
één of andere Duitse website bood één bepaalde versie aan, al wist ik niet of het "the latest and the greatest" versie van lame was. Maar goed, ik load dat ding down, en wat schetst mijn verbazing: uiteindelijk haalde de browser het bestand gewoon op van die Zuid-Amerikaanse site (lame.buanzo.org) waar ik dus al de hele tijd zonder resultaat van probeerde te downloaden...

Dus: rechtstreeks vanuit de browser naar lame.buazo.org gaf geen toegang,
maar die Duitse site linkte er alleen maar naar door, en zo lukte downloaden van lame.buanzo.org opeens wel. Rara?
Dat vond ik destijds dermate "uitdagend vreemd" dat ik het verder ben gaan uitzoeken. En wat bleek?
Die Duitse site zorgde ervoor dat er een bepaalde http-referrer aan de downloadopdracht werd toegevoegd,
die vervolgens vanuit mijn browser naar lame.buanzo.org werd meegestuurd.
Blijkbaar was met die ene Duitse website een deal gemaakt, dat deze ene plugin daar altijd beschikbaar zou blijven,
ook als meneer Buanzo zijn servercapaciteit (tijdelijk) voor eigen projecten gebruikte.

In de gelukkige omstandigheid dat ik er tools voor had, heb die referrer toen eens kunstmatig gekopieerd en toegevoegd
aan mijn eigen downloadopdracht (dus zonder gebruik te maken van die Duitse website)
En ja hoor: toen kon ik opeens wél rechtstreeks vanuit mijn browser van alles van lame.buanzo.org downloaden.
Blijkbaar controleerde lame.buanzo.org dus op de aanwezigheid van die ene specifieke referrer,
en met elke opdracht zónder diezelfde exacte referrer kreeg je 0,0/niente/geen toegang tot de server.

Nu wordt tegenwoordig op lame.buanzo.org niet langer http maar https gebruikt, dus daar zullen ze er geen last van ondervinden. Maar voor hedendaagse http-sites die dezelfde truuk zouden willen gebruiken, gaat deze manier van "selectief toestemming verlenen om te mogen dowloaden" voortaan dus niet meer werken met Firefox...