Что такое “Хотлинки” (hotlinks) и как с ними бороться

Вторник, 31 марта, 2009 22:13:54 EEST

Исправления от 21 апреля, 2009 01:07:35

Еще когда этому блогу было от силы пару месяцев и посетителей на нем было не густо я как-то, просматривая логи AwStats, наткнулся на некие “ссылающиеся страницы“, которые меня заинтересовали. Я прошел по ссылкам на эти страницы, чтобы посмотреть, кто же сослался и что хорошего взял с моего блога. Это оказались обычные странички одного ЖЖ. Автор дневника опубликовал у себя поздравление с днем рождения своей подруге, а в качестве картинки для поста указал URL изображения с моего блога. Изображения, которое физически оставалось лежать на моем сервере… И которое каждый раз, когда кто-либо просматривал дневник этого товарища, загружалось с моего сервера и питалось моим трафиком.

О хотлинках (hotlink) я тогда еще не слышал. А именно такой способ публикации медиа-контента, когда постится что-то, (различная графика, флеш-ролики, видео и т.п.) лежащее на другом сервере, называется хотлинком.

Вообще, хотлинк - это наглость! Кто-то, кто берет изображения с Вашего сайта и постит их где-то на форумах, блогах и т.д. по сути своей превращает Ваш сайт в такой себе халявный хостинг картинок. Эти картинки загружаются посетителями сторонних ресурсов, нагружая (согласен, может и не сильно) Ваш сервер, поедая Ваш трафик… И все это от лени (либо от непонимания). Ведь ничего не мешает сохранить понравившуюся картинку на свой компьютер, а потом залить ее на какой-то специально созданный для этого хостинг вроде radikal.ru…

Тогда я попросту взял и переименовал файл на своем сервере. Положил вместо него с таким же названием фейковую картинку с приглашением посетить live.daemony.org С тех пор прошло немало времени.

И вот сегодня я снова залез в статистику AwStats посмотреть список ссылающихся на этот блог сайтов. Список за март месяц перевалил за тысячу. Подавляющее большинство “ссылающихся” по которым я прошелся - это женские и прочие форумы, ЖЖ странички 15-тилетних девочек. Гей один и тот спер одну картинку с котятами и запостил ее на педерастическом голубом форуме. Словом сайты такие, что никак (по тематике) ссылаться на этот не могли и не ссылались. Зато постили изображения, лежащие здесь. Загрузки этих изображений и были обсчитаны AwStats’ом.

Надо было что-то кардинально предпринимать. Ведь не зря в свое время умные люди придумали модуль для Apache mod_rewrite.

Цель: защитить медиа-файлы на сайте (расширения .jpg .jpeg .gif .png .bmp .flv .swf … список можно продолжать) от загрузки браузерами, от которых приходит переменная HTTP_REFERER отличная от http://live.daemony.org/ (и его алиасов). Это может произойти только по одной причине: если медиа-файл загружается на странице стороннего сайта.

Полтора часа на чтение документации по mod_rewrite и вот что имеем. В файл .htaccess следует добавить такие строчки:

RewriteEngine on
#RewriteCond %{HTTP_REFERER} !^$
RewriteCond %{HTTP_REFERER} !^http(s)?://(www.)?live.daemony.org [NC]
RewriteCond %{HTTP_REFERER} !^http(s)?://(www.)?daemony.org [NC]
RewriteRule .(jpg|jpeg|png|gif|bmp|flv|swf)$ leech/daemony-welcome.png [NC,R,L]

С такими mod_rewrite правилами всем, у кого поле HTTP_REFERER пустое, либо отличается от http://live.daemony.org/, на запрос о получении файлов с указанными расширениями получат файл http://live.daemony.org/leech/daemony-welcome.png. Сами понимаете, что в качестве антиhotlink изображения можно также подложить что угодно.

Если Вы хотите разрешить получение изображений с Вашего сайта браузерам с пустым полем HTTP_REFERER, раскомментируйте строчку:

#RewriteCond %{HTTP_REFERER} !^$

Ничего сложно, как видите, зато как же эффективно. Сам, честно говоря, удивился, пройдя вновь по тем страницам, на которых выложены изображения с моего блога. Сделал напамять (см. ниже) скриншот сайта frееbsdblоg.ru, где “автор” блога передирает в него статьи по FreeBSD с других сайтов без ссылок на первоначальный источник, вплоть до сохранения HTML разметки, и… картинок. С моего блога там тоже много статей. Скриншот того, как теперь выглядит публикация, которую товарищ передрал из моего блога, не потрудившись даже вычистить ее как минимум от смайликов:

Теперь о тонкостях

В RewriteRule можно указывать как относительный так и абсолютный путь к антиhotlink изображению. Но это изображение не должно находиться в каталоге, который определен как защищенный в RewriteRule. Иначе, при запросе этого изображения браузером, начнется бесконечный цикл перенаправлений, которые Firefox распознает и рубит сразу же на корню прямо сообщая об этих редиректах, а вот Опера и Эксплорер могут долго думать и гадить Вам в логи. В приведенном примере защищены все графические изображения, находящиеся в каталогах и подкаталогах начиная от корня веб-сервера. Файл daemony-welcome.png не лежит в корневом каталоге веб-сервера. Для него определен алиас-каталог leech, который в httpd.conf прописан вот так:

       Alias /leech/ "/www/live.daemony.org/leech/"

       <Directory "/www/live.daemony.org/leech">
           Options Indexes FollowSymlinks MultiViews
           AllowOverride All
           Order deny,allow
           Allow from all
       </Directory>

В большинстве случаев, создавать алиас-каталог нет необходимости, потому что обычно графика не лежит в корне сайта. Для тех, кто покупает виртуальный хостинг это к тому же и невозможно.

Для Wordpress блога, в котором все изображения обычно лежат в /wp-content/uploads антиhotlink картинку можно положить в корень сайта, либо в папку с темой. Кстати, возможно кому-то пригодится плагин для Wordpress, который мне попался на глаза в Гугле и который всего лишь добавляет в .htaccess правила в зависимости от тех настроек, что Вы ему укажите в админке. Он по-умолчанию предлагает защитить директорию /wp-content/uploads, а антиhotlink изображение предлагает разместить в папке /wp-content/themes/имя_вашей_темы/

Мне использование плагина для добавления правил в .htaccess показалось излишеством. Потому я его не стал ставить. Но судя по отзывам он с успехом исполняет свои обязанности. Возможно, Вам также пригодится автоматический скрипт-генератор htaccess правил для защиты от хотлинков.

Защищайтесь от хотлинков, господа блогеры. Удачи!

P.S.: Надеюсь, статистика AwStats за апрель будет почище, чем за март…

ПРОДОЛЖЕНИЕ СЛЕДУЕТ

Добавить в социальные закладки

• Blink
• del.ici.ous
• Digg
• Furl
• Google
• Simpy
• Spurl
• Y! MyWeb
• БобрДобр
• Мистер Вонг
• Яндекс.Закладки
• Текст 2.0
• News2
• AddScoop
• RuSpace
• RUmarkz
• Memori
• Закладки Google
• Писали
• СМИ 2
• Моё Место
• Сто Закладок
• Ваау!
• Technorati
• RuCity
• LinkStore
• NewsLand
• Lopas
• Закладки - I.UA
• Connotea
• Bibsonomy
• Trucking Bookmarks
• Communizm
• UCA

Похожие публикации

• Несколько изменений в блоге
• Cистемные сетевые утилиты через интерфейс Wordpress (ping, whois, dig и т.д.). Простые PHP скрипты
• Ищем “битые” ссылки
• Защита веб-сайта от автоматического скачивания программами. Защищаемся средствами Unix [ban_mega_dl.sh v.3.0]
• Yahoo отжигает :)
• Пора обновляться | Wordpress 2.5.1
• Daemony’s Live формата 2.5.1
• Поддержка шифрования SSL в Apache (HTTPs)
• BlogJet
• Проверка сервера “на вшивость” или “Как заDoSить Daemony.org?” (Оптимизируем связку Apache+PHP+MySQL)

ЗАКИДЫВАЙ ЛЕНТУ ЭТОГО БЛОГА В ЛЮБИМУЮ ЧИТАЛКУ
И СВОЕВРЕМЕННО УЗНАВАЙ О НОВЫХ МАТЕРИАЛАХ!