Nginx: Hotlink-beskyttelse med rewrite

Ikke engang en lenke tilbake til ditt eget nettsted følger med, med mindre innholdstyven har kopiert hele innholdet rett fra kildekoden og limt det inn på sin egen nettside. Da kan det hende du et sted har lenket til et annet av dine egne innlegg med full URL, og at den lenken fortsatt ligger i teksten. Men pust ut først, så tar vi én ting om gangen:

Hva er egentlig en hotlink?

En hotlink er for eksempel et bilde som bygges inn ved å lenke direkte til den eksisterende nettadressen. Altså uten å laste ned bildet først, laste det opp på egen webplass eller server og deretter lenke til det derfra.

Hotlinking er ikke alltid et problem. I hvert fall ikke når partene har avtalt det, eller når man driver en tjeneste for bildeopplasting.
Men de fleste av oss driver ingen slik tjeneste. Vi betaler bare pliktoppfyllende for webhotellet hver måned og har en bestemt trafikkgrense. Og her kommer vi til kjernen i problemet.
Hvis noen andre viser mediefiler fra webserveren din på sitt nettsted, svarer serveren din på hver av disse forespørslene. Det er jo det servere gjør: De betjener forespørsler og leverer innhold.

Nå har innholdstyven et gratis bilde på nettstedet sitt, uten at trafikken belastes deres egen server. Trafikken og serverbelastningen faller fortsatt på den som er frastjålet bildet, altså deg, og bruker serverressurser hver gang noen besøker innholdstyvens nettside og får bildet vist i nettleseren.
Det kan i enkelte tilfeller gi enorme mengder trafikk fra andre nettsteder, avhengig av hvor mange besøkende innholdstyvens nettsted har.
Det er virkelig ikke morsomt.

I dag vil jeg vise deg hvordan du kan sette opp din egen NGINX-webserver slik at den ikke svarer på disse forespørslene som forventet, men i stedet viser et annet bilde til dem som besøker innholdstyvens nettsted.
Slik kan du snu den tilsynelatende skaden til din egen fordel og, hvis du er skikkelig sint, gi tyven en lærepenge: få de besøkende over til ditt eget nettsted!

Slik gjør du NGINX til en uslåelig sluttboss mot hotlinking!

Dette er planen:

• Vi vil ha en felles løsning som fungerer for alle domener, slik at vi slipper å tilpasse hver enkelt vHost-konfigurasjon i sites-available.
• Nettadressen i forespørselen skal skrives om (rewrite), slik at et bestemt annet bilde leveres til tyvens nettside i stedet.
• Løsningen må fungere med Google Bildesøk og andre søkemotorer som har bildesøk, i stedet for å forby all hotlinking. Ellers viser Google Bildesøk bare erstatningsbildet, og ikke de egentlige bildene dine.

Løsningen på bildetyveriet

Disse få kodelinjene er løsningen på problemet med bildetyveri. I neste avsnitt ser du hvor og hvordan koden skal legges inn.

location ~* \.(ogg|ogv|svg|svgz|eot|otf|woff|mp4|ttf|css|rss|atom|js|jpg|jpeg|gif|png|ico|zip|tgz|gz|rar|bz2|doc|xls|exe|ppt|tar|mid|midi|wav|bmp|rtf|swf)$ { add_header "Access-Control-Allow-Origin" "*"; access_log off; log_not_found off; expires max; valid_referers none blocked ~.google. ~.bing. ~.yahoo. ~.yandex. server_names ~($host); if ($invalid_referer) { rewrite (.*) /hotlink/achtung-inhalts-und-bilderklau.png redirect; } } #avslutt hotlink-viderekoblingssløyfe location = /hotlink/achtung-inhalts-und-bilderklau.png { }

Hva gjør koden?

~ brukes når det skal skilles mellom store og små bokstaver, mens ~* ikke skiller mellom dem.

NGINX kontrollerer location-reglene i den rekkefølgen de regulære uttrykkene står. Det betyr at instruksjonene for hurtigbufferhoder for mediefiler og instruksjonene for hotlink-beskyttelsen må ligge i samme blokk!

location = /hotlink/achtung-inhalts-und-bilderklau.png { } trengs for å unngå en endeløs omdirigeringssløyfe når det kommer en ny forespørsel om erstatningsbildet:
Bildetyvsiden sender forespørsel om bilde A → vår NGINX omdirigerer forespørselen til erstatningsbildet → bildetyvsiden sender forespørsel om erstatningsbildet → vår NGINX omdirigerer forespørselen til erstatningsbildet, men leverer det ikke → og slik fortsetter det …

$host er en variabel som gjør denne regelen brukbar globalt, under alle vHost-domener på webserveren. Følgende URL blir gyldig for hvert domene: http://$host/hotlink/achtung-inhalts-und-bilderklau.png

Du trenger bare å opprette mappen /hotlink under hvert domene og legge en bildefil med navnet achtung-inhalts-und-bilderklau.png i denne mappen. Du kan gi filen og mappen andre navn hvis du vil. Husk bare å tilpasse koden tilsvarende.

Slik legger du inn location-regelen

Test hotlink-beskyttelsen din!

Jeg har skrevet et verktøy du kan bruke til å teste oppsettet for hotlink-beskyttelse. Legg inn den direkte nettadressen til et bilde på NGINX-serveren din i feltet. I visningsfeltet nedenfor skal erstatningsbildet helst dukke opp. Hvis bildet fra nettadressen du skrev inn, vises i stedet, må du kontrollere hotlink-beskyttelsen en gang til.

Hvis du vil teste samme bilde-URL flere ganger etter hverandre, må du tømme nettleserens hurtigbuffer etter hver test og laste denne siden på nytt.

Har du flere spørsmål? Bruk gjerne kommentarfeltet under innlegget!

Del gjerne artikkelen på Facebook-siden din, via Twitter, Google+ eller en annen sosial plattform du velger. Delingsknappene finner du lenger ned. Det er raskt og enkelt å dele, og det ville glede meg veldig.