Utiliser les règles de protection contre le hotlinking par Referer pour empêcher le hotlinking malveillant de votre site web - ApsaraVideo VOD

La protection contre le hotlinking basée sur le champ Referer utilise ce dernier dans les en-têtes des requêtes HTTP, par exemple via une liste d'autorisation ou de blocage de Referers, pour appliquer un contrôle d'accès. Elle identifie et filtre les visiteurs afin d'empêcher l'utilisation non autorisée des ressources de votre site web. Après avoir configuré une liste d'autorisation ou de blocage de Referers, CDNDCDN vérifie chaque requête par rapport à la liste et autorise ou refuse l'accès. Si l'accès est autorisé, CDNDCDN renvoie l'URL de la ressource. En cas de refus, CDNDCDN renvoie le code d'état HTTP 403. Cette rubrique décrit comment configurer la protection contre le hotlinking par Referer.

Important

Dans ApsaraVideo VOD, la protection contre le hotlinking par Referer est désactivée par défaut. Cela signifie que n'importe quel site web peut accéder à vos ressources.
Lorsque vous ajoutez un nom de domaine tel que aliyundoc.com à une liste de Referers, CDNDCDN applique la règle au domaine lui-même ainsi qu'à tous ses sous-domaines (tels que *.aliyundoc.com).
Pour les requêtes Range, les navigateurs ajoutent l'en-tête Referer lors de la deuxième requête. Pour autoriser ces requêtes, ajoutez le domaine à la liste d'autorisation de Referers.
Après avoir activé la protection contre le hotlinking par Referer dans ApsaraVideo VOD, ajoutez vod.console.alibabacloud.com à la liste d'autorisation de Referers pour prévisualiser les vidéos dans la console ApsaraVideo VOD.

Structure d'un Referer

L'en-tête Referer indique l'URL de la page à partir de laquelle une requête a été initiée. Une URL de Referer se compose d'un schéma, d'un domaine, d'un chemin et de paramètres de requête, comme illustré dans la figure suivante.

Remarque

La valeur d'un en-tête Referer est essentiellement une URL.
Alibaba Cloud prend en charge les configurations de Referer basées uniquement sur le domaine. Pour activer cette option, sélectionnez l'option Ignore Scheme.

Cas d'utilisation

Une liste de blocage ou d'autorisation de Referers protège principalement les ressources de votre site web contre les liens directs ou l'utilisation par d'autres sites web. Les cas d'utilisation courants incluent :

Protection des droits d'auteur : pour les sites web contenant du contenu protégé par le droit d'auteur, vous pouvez utiliser une liste d'autorisation de Referers pour restreindre l'accès aux seuls sites web autorisés.
Prévention du hotlinking : une liste d'autorisation garantit que vos ressources ne sont accessibles qu'à partir de sites web spécifiques, empêchant ainsi d'autres sites de consommer votre bande passante en créant des liens directs vers votre contenu.
Sécurité renforcée du site web : en n'autorisant que des sites web spécifiques à accéder à vos ressources, vous pouvez prévenir le hotlinking malveillant, les accès non autorisés et le vol d'informations sensibles.
Contrôle de la source du trafic : vous pouvez restreindre le trafic provenant de sites web spécifiques afin de contrôler les sources de trafic et d'améliorer la stabilité et la sécurité de votre site web.

Fonctionnement

Un point de présence (POP) vérifie l'en-tête Referer de chaque requête. Si le Referer ne figure pas dans la liste d'autorisation ou s'il figure dans la liste de blocage, le POP refuse la requête. Cela permet d'économiser de la bande passante et de réduire la charge sur le serveur d'origine. CDNDCDN utilise les règles suivantes pour traiter les requêtes de Referer :

Si le Referer d'une requête correspond à une entrée de la liste de blocage ou ne correspond à aucune entrée de la liste d'autorisation, CDNDCDN refuse la requête.
Si le Referer d'une requête correspond à une entrée de la liste d'autorisation, CDNDCDN autorise la requête.

Procédure

Connectez-vous à la console ApsaraVideo VOD.
Dans le volet de navigation de gauche, sous Configuration Management, cliquez sur CDN Configuration > Domain Names.
Sur la page Domain Names, localisez le nom de domaine cible. Cliquez sur Actions, puis sur Configure.
Dans le volet de navigation de gauche correspondant à ce domaine, cliquez sur Resource Access Control.
Dans l'onglet Referer Hotlink Protection, cliquez sur Modify.

Sélectionnez Blacklist ou Whitelist selon vos besoins.

Paramètre	Description
Type	Blacklist Le POP refuse l'accès aux requêtes contenant un Referer figurant dans la liste de blocage. Whitelist Le POP n'autorise que les requêtes contenant un Referer figurant dans la liste d'autorisation. Remarque Les listes de blocage et les listes d'autorisation s'excluent mutuellement. Vous ne pouvez sélectionner qu'un seul type à la fois.
Rules	Vous pouvez ajouter plusieurs Referers. Séparez chaque entrée par un saut de ligne. Vous pouvez utiliser un astérisque () comme caractère générique pour faire correspondre tous les sous-domaines. Par exemple, .example.com correspond à tous les sous-domaines de `example.com`. Si vous ne spécifiez pas de caractère générique, une entrée correspond à la fois au domaine lui-même et à tous ses sous-domaines. Par exemple, une entrée pour `example.com` correspond à la fois à `example.com` et à `.example.com`. Remarque* La taille totale de toutes les règles d'une liste de Referers ne peut pas dépasser 60 Ko. Il n'est pas nécessaire d'inclure le schéma dans les règles.
Redirect URL	Si une requête est bloquée, le POP renvoie une redirection 302 avec un en-tête de réponse Location. Ce paramètre spécifie la valeur de l'en-tête Location. L'URL doit commencer par `http://` ou `https://`. Exemple : `http://www.example.com`.
Advanced
Allow resource URL access from browsers	Cette option est désactivée par défaut. Si vous sélectionnez cette option, les requêtes avec un Referer vide ne sont pas bloquées et sont autorisées à accéder à la ressource, quels que soient les paramètres de votre liste. La requête ne comprend pas d'en-tête Referer. La valeur de l'en-tête Referer est vide.
Exact match	Par défaut, cette option n'est pas sélectionnée. Si elle est sélectionnée, les caractères génériques (*) ne sont plus pris en charge pour la correspondance de domaine. Par exemple, `example.com` correspond uniquement à `example.com`, et non à ses sous-domaines.
Ignore scheme	Si l'option Ignore Scheme est désactivée, l'en-tête Referer doit inclure un schéma HTTP ou HTTPS. Si vous sélectionnez l'option Ignore Scheme, l'en-tête Referer n'est pas obligé d'inclure un schéma.

Cliquez sur OK pour terminer la configuration.

Logique de correspondance des Referers

Le tableau ci-dessous illustre le fonctionnement de la correspondance des Referers. Si une requête ne correspond pas à la liste d'autorisation ou correspond à la liste de blocage, CDNDCDN rejette la requête et renvoie le code d'état HTTP 403.

Configuration de la liste	Referer dans la requête	Résultat de la correspondance	Logique de correspondance
www.example.com *.example.com	http://www.example.com/img.jpg	Oui	Le domaine dans l'en-tête Referer correspond à une entrée de la liste de règles.
	http://www.example.com:80/img.jpg	Oui
	www.example.com	Pour plus d'informations, consultez la description de la logique de correspondance.	Si Ignore scheme n'est pas sélectionné, le résultat est Non. L'en-tête Referer ne contient pas http:// ni https://. Si Ignore scheme est sélectionné, le résultat est Oui.
	http://aaa.example.com	Oui	Le résultat est Oui, que l'option Exact match soit sélectionnée ou non.
	http://aaa.bbb.example.com	Voir l'explication	Si Exact match n'est pas sélectionné, le résultat est Oui. La règle `.example.com` correspond aux sous-domaines à plusieurs niveaux. Si Exact match* est sélectionné, le résultat est Non. La règle `*.example.com` correspond uniquement aux domaines de deuxième niveau, et non aux domaines de troisième niveau.
	http://example.com	Non	Le domaine de deuxième niveau dans l'en-tête Referer ne correspond pas à l'entrée avec caractère générique. Les entrées avec caractère générique n'incluent pas le domaine de deuxième niveau lui-même.
	http://www.example.net	Aucune correspondance	La requête ne correspond ni à la liste d'autorisation ni à la liste de blocage. Par défaut, l'accès est autorisé.

FAQ

Pourquoi l'en-tête Referer ne contient-il parfois ni http:// ni https:// ?

Dans la plupart des cas, l'en-tête Referer d'une requête utilisateur inclut un schéma HTTP ou HTTPS. Toutefois, dans certaines situations, le Referer peut ne pas inclure de schéma.

Un scénario courant survient lorsqu'un utilisateur navigue d'un site web non sécurisé (qui utilise HTTP) vers un site web sécurisé (qui utilise HTTPS). Les navigateurs peuvent modifier ou supprimer l'en-tête Referer en fonction des politiques de sécurité, telles que Referrer-Policy, afin de protéger les données des utilisateurs. Dans ce cas, l'en-tête Referer peut contenir uniquement le domaine, sans le schéma.

De plus, certains navigateurs ou serveurs proxy peuvent automatiquement supprimer l'en-tête Referer dans des situations spécifiques, par exemple lorsque le mode de navigation privée est utilisé ou qu'un site web est consulté via un proxy anonyme.

Ainsi, en pratique, gérez les requêtes dont l'en-tête Referer ne contient ni http:// ni https:// afin de garantir une évaluation correcte.

Dois-je utiliser une liste de blocage ou une liste d'autorisation pour prévenir les abus de hotlinking ?

Une liste d'autorisation permet uniquement aux domaines figurant dans la liste d'accéder à vos ressources et bloque toutes les sources qui n'y figurent pas. Une liste de blocage bloque uniquement les domaines figurant dans la liste et autorise les sources qui n'y figurent pas.

Pour prévenir les abus de hotlinking, utilisez une liste de blocage (recommandé) : ajoutez un nom de domaine inexistant à la liste de blocage et activez l'option permettant de bloquer les requêtes avec un en-tête Referer vide. Cela bloque les requêtes avec un Referer vide sans affecter l'accès normal.

Pourquoi le Referer est-il vide et dois-je autoriser ces requêtes ?

Un Referer vide signifie que la requête ne comprend pas d'en-tête Referer ou que la valeur de l'en-tête est vide. Les causes courantes incluent :

Absence de page référente : un utilisateur saisit directement une URL dans la barre d'adresse du navigateur ou accède à la ressource depuis un favori.
Le client ne définit pas l'en-tête : une application, un script ou un client tel que curl ou wget ne définit pas l'en-tête Referer lors de la construction de la requête.
Politique de sécurité du navigateur : la page définit Referrer-Policy: no-referrer, ou le navigateur n'envoie pas de Referer lorsqu'une ressource est consultée via HTTP à partir d'une page HTTPS.
Un intermédiaire supprime l'en-tête : un serveur proxy, un outil de confidentialité ou une extension de navigateur supprime l'en-tête Referer.

L'autorisation des requêtes avec un Referer vide dépend de votre scénario métier. Si les utilisateurs doivent pouvoir accéder directement aux ressources, ou si votre activité utilise des applications ou des clients en ligne de commande qui n'envoient pas de Referer, activez l'option Allow access from the browser address bar. Ce paramètre s'applique aux listes de blocage et d'autorisation de Referers et autorise toutes les requêtes avec un Referer vide. Étant donné qu'un Referer vide ne contient aucune information sur la source, CDN ne peut pas l'utiliser pour déterminer la source réelle de la requête. Si votre activité doit bloquer les requêtes de hotlinking ayant un Referer vide, n'activez pas ce paramètre.

Pour obtenir des instructions de configuration, consultez Configurer une liste de blocage ou d'autorisation de Referers. Si une requête avec un Referer vide renvoie déjà le code HTTP 403, consultez Les requêtes avec un Referer vide sont bloquées.