Hotlinking - jak zablokować kradzież obrazków (i transferu)?

Cudza strona wyświetla Twoje zdjęcia prosto z Twojego serwera - Ty płacisz za transfer, oni mają treść. Czym jest hotlinking, jak go wykryć i zablokować bez psucia Google i podglądów linków.

Czym jest hotlinking

Hotlinking (gorące linkowanie) to osadzanie na cudzej stronie obrazka bezpośrednio z Twojego serwera: ktoś wkleja <img src="https://twojadomena.pl/zdjecie.jpg"> u siebie. Każdy odwiedzający TAMTĄ stronę pobiera plik z TWOJEGO hostingu - Ty płacisz transferem i obciążeniem, tamten ma darmową grafikę. Przy popularnym forum czy agregatorze potrafi to zjadać gigabajty miesięcznie i realnie spowalniać stronę (limity: o limitach hostingu).

Jak wykryć, że ktoś hotlinkuje

  • statystyki serwera (w panelu: AWStats/logi) - sekcja „odsyłacze" przy plikach graficznych pokaże obce domeny,
  • wyszukiwanie obrazem - wrzuć swoje kluczowe grafiki do wyszukiwarki obrazów i zobacz, gdzie żyją,
  • nagły wzrost transferu bez wzrostu odwiedzin to klasyczny sygnał.

Jak zablokować - trzy poziomy

1. Wtyczką / panelem (najprościej)

Wtyczki bezpieczeństwa WordPressa i LiteSpeed Cache mają przełącznik „hotlink protection". Na naszym hostingu włączysz to też w panelu bez grzebania w plikach.

2. Regułą w .htaccess (uniwersalnie)

Zasada: obrazki serwuj tylko, gdy nagłówek Referer jest pusty albo Twój:

RewriteEngine On
RewriteCond %{HTTP_REFERER} !^$
RewriteCond %{HTTP_REFERER} !^https?://(www\.)?twojadomena\.pl [NC]
RewriteRule \.(jpe?g|png|gif|webp)$ - [F,NC]

Kluczowy jest pierwszy warunek (puste Referer przepuszczamy): bez niego zablokujesz osoby z blokerami prywatności, podglądy w komunikatorach i część botów.

3. Na CDN

Jeśli używasz CDN (kiedy warto), reguły hotlink protection ustawiasz na brzegu - najskuteczniej, bo ruch nie dociera nawet do serwera.

Wyjątki, o których się zapomina

  • Google Images - jeśli chcesz być w wynikach obrazków (ruch!), dopuść refererów Google; standardowe reguły zwykle to uwzględniają, ale po wdrożeniu sprawdź,
  • podglądy social media - Facebook/LinkedIn pobierają grafikę OG do podglądu linku; blokada = linki bez obrazka,
  • Twój własny CDN/subdomeny - dopisz je do dozwolonych,
  • testuj po wdrożeniu w trybie incognito i przez zewnętrzny podgląd, nie tylko u siebie (cache!).

Wariant złośliwy (używaj z rozwagą)

Zamiast blokady 403 można hotlinkerom podmienić obraz na planszę „Ten obrazek ukradziono z twojadomena.pl". Skuteczne wychowawczo, ale bywa obosieczne - plansza wyświetli się też w miejscach, których nie chciałeś blokować. W biznesie zwykle lepsza jest cicha blokada + ewentualnie wiadomość do właściciela strony (a przy skali - wezwanie prawne, bo hotlinking często idzie w parze ze zwykłą kradzieżą treści).

Hotlinking to fragment większej higieny wydajności - całość w pillarze Szybka strona WWW.

Powiązane poradniki

Powiązane usługi McProdukt

Zobacz również