.env.example

@@ -99,12 +99,16 @@ ENABLE_XCTO=1
 # Zalecane: 1. Ustaw 0, jeśli używasz zewnętrznych skryptów lub masz problemy z WebSocketami (w CSP: connect-src 'self').
 ENABLE_CSP=1
 
-# ENABLE_PP:
-# Ustawia nagłówek Permissions-Policy, który ogranicza wybrane funkcje przeglądarki (np. Topics API od Google).
-# Domyślnie wyłączone. Włączenie ustawi: Permissions-Policy: browsing-topics=()
-# Zalecane: 1 — jeśli chcesz zwiększyć prywatność użytkowników i zablokować Topics API.
-# Ustaw 0, jeśli chcesz całkowicie pominąć ten nagłówek.
-ENABLE_PP=0
+# REFERRER_POLICY:
+# Ustawia nagłówek Referrer-Policy, który kontroluje, ile informacji o źródle (refererze)
+# jest przekazywane podczas nawigacji lub zapytań sieciowych.
+# Domyślnie: strict-origin-when-cross-origin — pełny URL tylko w obrębie tej samej domeny,
+# a przy przejściach między domenami tylko origin (np. https://example.com).
+# Zalecane ustawienie dla dobrej równowagi między prywatnością a funkcjonalnością.
+# Inne możliwe wartości: no-referrer, same-origin, origin, strict-origin, unsafe-url itd.
+
+REFERRER_POLICY="strict-origin-when-cross-origin"
+
 
 # DEBUG_MODE:
 # Czy uruchomić aplikację w trybie debugowania (z konsolą błędów i autoreloaderem)

app.py

@@ -86,6 +86,8 @@ talisman = Talisman(
     content_security_policy=csp_policy,
     x_content_type_options=app.config.get("ENABLE_XCTO", True),
     strict_transport_security_include_subdomains=False,
+    referrer_policy=app.config.get("REFERRER_POLICY"),
+
 )
 
 register_heif_opener()  # pillow_heif dla HEIC
@@ -830,7 +832,12 @@ def system_auth():
             reset_failed_attempts(ip)
             resp = redirect(next_page)
             max_age = app.config.get("AUTH_COOKIE_MAX_AGE", 86400)
-            resp.set_cookie("authorized", AUTHORIZED_COOKIE_VALUE, max_age=max_age)
+            resp.set_cookie(
+                "authorized",
+                AUTHORIZED_COOKIE_VALUE,
+                max_age=max_age,
+                secure=request.is_secure
+            )
             return resp
         else:
             register_failed_attempt(ip)

config.py

@@ -36,6 +36,7 @@ class Config:
     ENABLE_XCTO = os.environ.get("ENABLE_XCTO", "0") == "1"
     ENABLE_CSP = os.environ.get("ENABLE_CSP", "0") == "1"
     ENABLE_PP = os.environ.get("ENABLE_PP", "0") == "1"
+    REFERRER_POLICY = os.environ.get("REFERRER_POLICY") or None
 
     DEBUG_MODE = os.environ.get("DEBUG_MODE", "1") == "1"
     DISABLE_ROBOTS = os.environ.get("DISABLE_ROBOTS", "0") == "1"