Как защитить сайт от прямых ссылок на изображения со вставками изображений на других сайтах?

Question

[Альберт Ушаков]

Вопрос впринципе простой, но в сети я не нашел ответа для себя.
То есть прдлагается через htaccess запрещать к примеру вот так,

RewriteEngine on
RewriteCond %{HTTP_REFERER} !^$
RewriteCond %{HTTP_REFERER} !^http(s)?://(www\.)?sitename.ru [NC]

RewriteRule \.(jpg|jpeg|png|gif)$ http://dropbox.com/hotlink-placeholder.jpg [NC,R,L]

Но данный код не решает проблему вставок изображений на других ресурсах. Картинки продолжают отображаться и слать запросы на сервер.
В общем как правильно реализовать данную защиту через htaccess или через PHP? Может поделитесь своими мыслями на этот счет.

Comments

[Алексей Горбунов]

Картинку браузер запрашивает отдельно от содержимого сайта. И у вас скорее всего nginx стоит перед апачем и он отдает файлы.

[FanatPHP]

можно поиграться с конфигом джинкса
при запросе страницы с картинками ставить куку, а при запросе самих картинок - проверять

[Альберт Ушаков]

FanatPHP, Эта дельная мысль. Получается нужен какой то один файл, который будет обрабатывать логику. А возможно ли сделать эту логику напрямую по ссылке на картинку? Например ... .jpg?key=гет запрос или же post.

[FanatPHP]

Альберт Ушаков, этот файл называется конфигурация нжинкс
все делается в ней

Answer 1

[Вова Дружаев]

Закрой сайт для интернета.
Потому как что вышло в инет - уже не защитить. Картинки печатай на принтере и клади в сейф. Тогда не украдут.

А так - борьба с ветряными мельницами.

Comments

[WbICHA]

Автор же спрашивают про защиту от хотлинкинга, причём здесь тут бред, что ты написал?

[Вова Дружаев]

WbICHA, первые ссылки в гугле

Answer 2

[bkosun]

Бессмысленно блокировать по HTTP_REFERER, поскольку такая защита легко обходится. Используйте динамические ссылки.

https://serverfault.com/questions/966563/how-to-pr...
https://stackoverflow.com/questions/3990337/how-to...

Comments

[shurshur]

Зависит от задачи. Если задача не предотвратить получение картинок, а предотвратить тривиальное использование своего сервера как CDN с картинками (с соответствующей лишней нагрузкой), то referer вполне себе решение.

[batyrmastyr]

shurshur, элементарно обходится через rel=noreferrer или заголовок Referrer-Policy: no-referrer / same-origin.
Но ленивых много, может и помочь.

[shurshur]

batyrmastyr, их не просто много - их большинство. Если нет целенаправленно нагружающих сервер большим трафиком, то этого может оказаться достаточно.