ひとことで言うと
Referrer-Policyは「リンクをクリックしたとき、どのURLから来たかを遷移先に教えるかどうか」を設定するルールです。デフォルトでは遷移元のURLがReferrerヘッダーとして自動送信され、外部サービスのアクセスログに記録されます。
例えば、社内の承認フロー用URLを含むHTMLをギガサイト便で共有し、その中にGoogleフォントへのリンクがある場合、Googleのサーバーに「このURLを持つページから読み込まれた」というリクエストが送られます。内部URLを外部に知らせたくない場合はno-referrerまたはsame-originポリシーを設定します。
- 相手がログインなしで開ける状態か確認する
- PCとスマホで最低1回ずつ表示を確認する
- 内部情報・個人情報・不要な外部送信が残っていないか見る
- レビュー期限と修正時の差し替え方を決めておく
HTML共有で関係する場面
AI生成HTMLにGoogle Fonts、jQuery CDN、外部画像ホスティングなどが含まれる場合、それらへのリクエスト時にReferrerが送信されます。共有URLが社内の命名規則（例：`gigasite.io/preview/project-alpha-2024-budget`）を含む場合、そのURLが外部サーバーのログに残る可能性があります。
metaタグでページ単位にReferrer-Policyを設定できます。`<meta name="referrer" content="no-referrer">`とHTMLに追記するだけで、外部へのリクエスト時にリファラー情報を送らない設定にできます。AIへの依頼に「外部リソースを使う場合はno-referrerのメタタグを含めること」と追記すると自動で設定されます。
よくある誤解
「Referrer-Policyを設定すれば完全に匿名になる」という誤解があります。Referrer-Policyはブラウザから外部サーバーへのReferrerヘッダーを制御するだけで、IPアドレスやCookieの送信は別の問題です。外部リクエスト自体をブロックするにはCSP（Content Security Policy）との組み合わせが必要です。
「no-referrerにするとGoogleアナリティクスのトラフィック計測に影響が出る」という懸念はある程度正しいです。アナリティクスはリファラー情報でトラフィックソースを分類するため、no-referrerにすると「direct」として計上されます。共有HTMLのアナリティクス精度より情報漏洩防止を優先するかどうかは用途で判断してください。
安全に使うための注意点
Referrer-Policyには複数の値があります。no-referrerはリファラーを一切送らず、same-originは同一オリジン間のみ送り、strict-origin-when-cross-originはhttpsからhttpへのアクセス時には送らないという設定です。AIに依頼する際は目的に応じて具体的なポリシー値を指定してください。
HTTPヘッダーとmetaタグの両方で設定できますが、HTTPヘッダー側の設定が優先されます。ギガサイト便のような共有サービスを使う場合、サービス側が独自のReferrer-Policyヘッダーを設定していることがあるため、metaタグで上書きできない場合があります。重要な設定は共有サービスのドキュメントで確認してください。
よくある質問
AIが生成したHTMLにReferrer-Policyのmetaタグが含まれていない場合、どのデフォルト値が使われますか？
ブラウザのデフォルトはstrict-origin-when-cross-originです。HTTPSページからHTTPSへのクロスオリジンリクエスト時はオリジンのみが送られます。完全に送りたくない場合はno-referrerをmetaタグで明示的に設定してください。
Referrer-Policyを設定すると、そのページへの外部リンクからのアクセス解析に影響しますか？
設定するのはあなたのページから外部へ送るReferrerです。外部から自分のページへアクセスしてくるリファラーは制御できません。外部→自分のページへのリファラーは相手側のReferrer-Policyに依存します。
社内プレビュー用HTMLと外部公開用HTMLで設定を分けるべきですか？
外部公開用はno-referrerまたはsame-originを設定して内部URL漏洩を防ぐことを推奨します。社内のみで使うプレビューは厳格にする必要はありませんが、外部サービスのURLが含まれる場合は設定しておくと安心です。