¿Por qué esto se considera aceptable?
No es considerado aceptable por todos. Es un compromiso pobre entre la privacidad y la utilidad que muchos consideran un error histórico.
En otras palabras, ¿por qué el encabezado del remitente no está sujeto a una política de dominios cruzados?
Referer es anterior a la introducción de Netscape de JavaScript y la Política del mismo origen que venía con ella. La web era un lugar muy diferente en aquel entonces, predominantemente documentos estáticos públicos y poca interacción. En este entorno, había pocas posibilidades de que una URL contuviera algo privado, y parecía útil informar a los autores web exactamente qué documentos se vinculaban con los suyos, en el espíritu de citas abiertas.
También significativamente atrás, entonces no había cookies. Entonces, si su navegador le dijo al sitio A que había venido del sitio B, no había mucho que pudiera hacer el sitio A con esa información. No pudo detectar una cookie previamente plantada para vincular esa información del remitente con cualquier otra cosa que supiera sobre lo que había hecho en el pasado, y ciertamente no podía permitir que las cookies de terceros divulguen esa información para generar un cruce a largo plazo. -el perfil de seguimiento del sitio como lo hacen los googles de hoy.
Fue solo cuando se juntó el conjunto de características de la moderna 'webapp', incluidas las secuencias de comandos, las cookies y los marcos, que se hizo evidente que Referer no era lo correcto. Si se diseñara hoy, a lo sumo tendríamos algo como el encabezado Origin moderno de CORS, que tiene el compromiso inclinado a la privacidad de un nombre del sitio pero no una ruta / consulta.
Sin embargo, suficientes sitios web (imprudentemente) confían en Referer para que un solo fabricante de navegador no pueda deshabilitar fácilmente la función sin afectar negativamente la compatibilidad para sus usuarios. Esto hace que sea muy difícil de solucionar.