Verbessern des Datenschutzes für Nutzer durch obligatorisches Senden des X-Requested-With-Headers aus WebView

Peter Birk Pakkenberg

Wenn ein Nutzer eine Anwendung installiert und ausführt, die Webinhalte über eine WebView einbettet, fügt die WebView jedem an Server gesendeten Request den Header „X-Requested-With“ mit dem Wert „APK-Name der Anwendung“ hinzu. Es liegt dann am empfangenden Webserver, zu entscheiden, ob und wie diese Informationen verwendet werden.

Wir möchten den Datenschutz der Nutzer schützen und senden diese Kopfzeile nur bei Anfragen, wenn der App-Entwickler die Freigabe für Dienste, die in der WebView eingebettet sind, ausdrücklich zugestimmt hat. Um dies zu erreichen und die Migration von Onlinediensten, die auf diesem Header basieren, zu ermöglichen, führen wir einen Ursprungstest zur Einstellung durch und entfernen den Header für allgemeinen Traffic. Parallel dazu entwickeln wir neue datenschutzfreundliche APIs (z. B. Client Attestation APIs), die für Anwendungsfälle geeignet sind, in denen der X-Requested-With-Header derzeit verwendet wird.

Weitere Informationen zu den Gründen für diese Änderung und dazu, wie sie funktioniert, finden Sie im Android Developer's Blog unter Verbesserung des Datenschutzes für Nutzer durch die Anforderung einer Einwilligung zum Senden des X-Requested-With-Headers von WebView.