Hotlinking - jak zablokować kradzież obrazków i transferu

Hotlinking zjada Twój transfer. Jak go wykryć i zablokować: panel, gotowa reguła .htaccess, CDN. Plus wyjątki dla Google Images i podglądów w social media.

Hotlinking to osadzanie Twoich obrazków bezpośrednio z Twojego serwera na cudzej stronie - płacisz wtedy transferem za czyjąś grafikę. Zablokujesz to na trzy sposoby: przełącznikiem w panelu hostingu lub wtyczce, regułą w pliku .htaccess albo na poziomie CDN. Kluczowa zasada: przepuszczaj puste nagłówki Referer, inaczej zablokujesz podglądy linków i część własnych użytkowników.

Poniżej: jak rozpoznać, że ktoś podbiera Twoje pliki, gotowa reguła .htaccess do skopiowania, lista wyjątków, o których wszyscy zapominają (Google Images, podglądy w social mediach), oraz co zrobić, gdy hotlinking idzie w parze z kradzieżą całych treści.

Czym jest hotlinking

Hotlinking (gorące linkowanie) to osadzanie na cudzej stronie obrazka bezpośrednio z Twojego serwera: ktoś wkleja u siebie znacznik obrazka wskazujący plik na Twojej domenie. Każdy odwiedzający TAMTĄ stronę pobiera plik z TWOJEGO hostingu - Ty płacisz transferem i obciążeniem, tamten ma darmową grafikę. Przy popularnym forum czy agregatorze potrafi to zjadać gigabajty miesięcznie i realnie spowalniać stronę (limity: o limitach hostingu).

Jak wykryć, że ktoś hotlinkuje

  • statystyki serwera (w panelu: AWStats/logi) - sekcja „odsyłacze" przy plikach graficznych pokaże obce domeny,
  • wyszukiwanie obrazem - wrzuć swoje kluczowe grafiki do wyszukiwarki obrazów i zobacz, gdzie żyją,
  • nagły wzrost transferu bez wzrostu odwiedzin to klasyczny sygnał,
  • logi serwera - filtrowanie żądań do plików graficznych z obcym nagłówkiem Referer daje twardą listę „gości".

Jak zablokować - trzy poziomy

1. Wtyczką / panelem (najprościej)

Wtyczki bezpieczeństwa WordPressa i LiteSpeed Cache mają przełącznik „hotlink protection". Na naszym hostingu włączysz to też w panelu bez grzebania w plikach - i to jest droga zalecana, jeśli nie chcesz dotykać konfiguracji.

2. Regułą w .htaccess (uniwersalnie)

Zasada: obrazki serwuj tylko wtedy, gdy nagłówek Referer jest pusty albo pochodzi z Twojej domeny. Wklej na końcu pliku .htaccess w katalogu głównym strony, podmieniając twojadomena.pl:

RewriteEngine On
RewriteCond %{HTTP_REFERER} !^$
RewriteCond %{HTTP_REFERER} !^https?://(www\.)?twojadomena\.pl [NC]
RewriteRule \.(jpe?g|png|gif|webp|svg)$ - [F,NC]

Kluczowy jest pierwszy warunek (puste Referer przepuszczamy): bez niego zablokujesz osoby z blokerami prywatności, podglądy w komunikatorach i część botów. Uwaga dla użytkowników naszego hostingu: na serwerze OpenLiteSpeed reguły z .htaccess bywają ignorowane w części konfiguracji - wtedy używaj przełącznika w panelu albo poproś nas o wpis w konfiguracji serwera.

3. Na CDN

Jeśli używasz CDN (kiedy warto), reguły hotlink protection ustawiasz na brzegu - najskuteczniej, bo ruch nie dociera nawet do serwera. W Cloudflare to jeden przełącznik w ustawieniach Scrape Shield.

Wyjątki, o których się zapomina

  • Google Images - jeśli chcesz być w wynikach obrazków (ruch!), dopuść refererów Google; standardowe reguły zwykle to uwzględniają, ale po wdrożeniu sprawdź,
  • podglądy social media - Facebook/LinkedIn pobierają grafikę OG do podglądu linku; blokada = linki bez obrazka,
  • Twój własny CDN/subdomeny - dopisz je do dozwolonych,
  • sklepy i porównywarki - jeśli przesyłasz feed produktowy (Google Merchant, Ceneo), ich roboty muszą pobierać zdjęcia,
  • testuj po wdrożeniu w trybie incognito i przez zewnętrzny podgląd, nie tylko u siebie (cache!).

Wariant złośliwy (używaj z rozwagą)

Zamiast blokady 403 można hotlinkerom podmienić obraz na planszę „Ten obrazek ukradziono z twojadomena.pl". Skuteczne wychowawczo, ale bywa obosieczne - plansza wyświetli się też w miejscach, których nie chciałeś blokować. W biznesie zwykle lepsza jest cicha blokada + ewentualnie wiadomość do właściciela strony.

Gdy to nie tylko transfer, ale kradzież treści

Hotlinking często towarzyszy zwykłemu kopiowaniu opisów i zdjęć produktowych. Wtedy blokada techniczna to jedno, a ochrona praw - drugie: zdjęcia i teksty są utworami chronionymi prawem autorskim, więc możesz żądać usunięcia, wysłać wezwanie, a przy uporze skorzystać ze zgłoszenia naruszenia praw autorskich do wyszukiwarki lub hostingodawcy sprawcy. Przy podszywaniu się pod markę w adresie domeny sięgnij po ścieżki z tekstu o cybersquattingu.

Hotlinking to fragment większej higieny wydajności - całość w pillarze Szybka strona WWW.

Najczęściej zadawane pytania

Czy hotlinking jest nielegalny?

Samo osadzenie linku do cudzego pliku bywa oceniane różnie, ale w praktyce liczą się dwie rzeczy: obciążanie cudzego serwera bez zgody oraz - zwykle towarzyszące - wykorzystanie cudzych zdjęć bez licencji, co już jest naruszeniem praw autorskich. Blokada techniczna jest szybsza i tańsza niż spór.

Czy blokada hotlinkingu zaszkodzi SEO?

Nie, o ile przepuścisz roboty Google (Images) i podglądy social mediów. Źle napisana reguła potrafi za to zablokować indeksowanie obrazków - dlatego po wdrożeniu sprawdź w Search Console, czy grafiki nadal są dostępne dla robota.

Jak sprawdzić, czy blokada działa?

Najprościej: wklej adres swojego obrazka jako znacznik obrazka na dowolnej testowej stronie w innej domenie (albo w narzędziu typu „HTML playground") i odśwież - powinien pojawić się błąd zamiast grafiki, podczas gdy na Twojej stronie obrazek działa normalnie.

Czy znaki wodne mają sens?

Tak, jako uzupełnienie: nie ograniczają transferu (plik nadal się pobiera), ale zniechęcają do kradzieży i promują markę tam, gdzie zdjęcie i tak wypłynie. Dla zdjęć produktowych stosuj dyskretny znak w rogu; agresywne znaki wodne obniżają konwersję we własnym sklepie.

Ktoś podlinkował jedno moje zdjęcie - czy warto blokować?

Przy pojedynczych przypadkach zwykle nie ma sensu ruszać konfiguracji: transfer jest pomijalny, a link do źródła bywa nawet korzystny. Blokadę wdrażaj, gdy widzisz realny wzrost transferu albo systematyczne wykorzystywanie Twoich zdjęć produktowych przez konkurencję.

Powiązane poradniki

Wszystkie poradniki z kategorii: Szybkość i wydajność

Powiązane usługi McProdukt

Zobacz również