Hotlink: o que é e como funciona

Hotlink (ou hotlinking) é quando um site exibe uma imagem ou outro arquivo que está hospedado no servidor de outra pessoa, apontando direto para o endereço original em vez de copiar o arquivo. Quem paga o tráfego é o dono do arquivo, não o site que o exibe.

Como o hotlink acontece?

Basta que a página de outro site tenha um trecho como este, com o endereço de uma imagem sua:

<img src="https://www.seusite.com.br/fotos/produto.jpg">

A cada visita a essa página, o navegador do visitante busca a imagem no seu servidor. Isso gasta a largura de banda da sua conta, como descreve a documentação do Apache: o outro site usa a sua banda para servir o conteúdo dele. Se você apagar ou renomear o arquivo, a imagem também quebra na página do outro site.

Como funciona a proteção contra hotlink?

A proteção usa o cabeçalho Referer, que o navegador envia para dizer de qual página partiu o pedido. O servidor compara: se uma imagem foi pedida por uma página que não é do seu domínio, ele nega o acesso (erro 403) ou entrega outra imagem no lugar. A regra costuma deixar passar pedidos sem Referer, que é o caso de quem digita o endereço da imagem direto no navegador. Em servidores que leem o .htaccess, a regra é escrita assim:

RewriteEngine on
RewriteCond %{HTTP_REFERER} !^$
RewriteCond %{HTTP_REFERER} !seusite\.com\.br [NC]
RewriteRule \.(gif|jpe?g|png)$ - [F,NC]

Essa proteção é uma conveniência, não uma trava de segurança. A própria documentação do Apache avisa que o cabeçalho Referer é opcional e pode ser forjado, e os navegadores podem enviá-lo incompleto ou não enviá-lo, conforme a política de privacidade em vigor. Por isso ela reduz o uso indevido de imagens, mas não protege arquivos privados. Para isso, use senha.

Quais cuidados tomar antes de ligar?

• Liste todos os seus endereços: com e sem “www”, outros domínios e subdomínios que usem as mesmas imagens.
• Pense nos serviços de terceiros: ferramentas de e-mail marketing e redes sociais mostram as suas imagens a partir de outros endereços e podem deixar de exibi-las. A documentação da Cloudflare avisa, por exemplo, que imagens bloqueadas podem não aparecer no Google Imagens, no Pinterest e no Facebook.
• Se você usa uma CDN: confira onde a regra deve ficar. O Cloudflare tem um recurso próprio de proteção contra hotlink, que cobre arquivos gif, ico, jpg, jpeg e png.
• Teste em janela anônima e olhe suas páginas com imagens depois de ligar.

Como fica na PW Host?

No painel DirectAdmin, a tela Proteção Hotlink fica no grupo Gerenciamento da conta. Nela você lista os endereços autorizados, escolhe as extensões protegidas e decide o que acontece com quem tentar usar suas imagens: por padrão, o erro 403, ou uma imagem substituta. As extensões padrão são jpg, jpeg, gif, bmp, ico, svg e png, o que significa que outros formatos, como o webp, só são protegidos se você os acrescentar. A opção “Permitir referenciador em branco” mantém o acesso direto funcionando. O passo a passo está no tutorial Proteção Hotlink.