Защита от хотлинка
Хотлинком называют ситуацию, когда другой сайт показывает ваши картинки, проигрывает ваши видео или раздаёт ваши файлы прямо с вашего сервера: страница чужая, а трафик тратится ваш. Защита от хотлинка отклоняет такие запросы, при этом ваши собственные страницы и прямые заходы работают как обычно.
Включите её в настройках сайта: вкладка Дополнительно, раздел Защита от хотлинка.
Настройки
| Настройка | По умолчанию | Значение |
|---|---|---|
| Защищаемые расширения | jpg, jpeg, png, gif, webp, avif, svg, ico, bmp, mp4, webm, mov, mp3, wav, pdf, zip |
Защищаются только файлы с этими расширениями. Через запятую, без точки. |
| Также разрешить эти сайты | пусто | Сайты, которым можно встраивать ваши файлы, по одному на строку: partner.com или *.example.com для домена и всех его поддоменов. |
| Пропускать запросы без Referer | включено | Оставьте включённым, см. ниже. |
Как принимается решение
Браузер сообщает серверу, с какой страницы запрашивается файл, в заголовке Referer. Для запроса GET или HEAD к файлу с защищённым расширением:
- Собственный домен вашего сайта и все его псевдонимы всегда разрешены.
- Сайты из списка разрешённых тоже пропускаются.
*.example.comохватывает самexample.comи каждый поддомен; можно вставлять записи сhttps://или путём, сохранится только имя хоста. - Запрос без
Referer(или с нечитаемым) разрешён, пока включено Пропускать запросы без Referer. - Всё остальное получает простой 404.
Почему запросы без Referer разрешены
Многие обычные запросы приходят без Referer. Его нет, когда человек набирает или вставляет адрес файла, открывает сохранённую страницу, пользуется менеджером загрузок или почтовым клиентом; некоторые браузеры и расширения скрывают источник перехода ради приватности. Если блокировать такие запросы, пострадают в первую очередь ваши же посетители, а не те, кто ворует трафик. Страница с хотлинком в обычном браузере Referer отправляет, поэтому обычный хотлинк блокируется и при включённой настройке.
Ограничения
- Проверка опирается на заголовок, который пишет сам клиент, поэтому скрипт или сервер, скачивающий ваши файлы, может не отправлять
Referer. Встроить файлы в чужую страницу она не даст, а скопировать их не помешает. - Поиск по картинкам в поисковых системах, соцсети и мессенджеры, которые показывают ваши изображения, могут получить отказ, если загружают файлы со своим сайтом в
Referer. Добавьте их в разрешённые сайты, если это для вас важно. - Отклонённые запросы всегда получают простой 404, своя страница блокировки здесь не используется.