Object Storage Service:ホットリンク保護

仕組み

ブラウザが OSS ファイルをリクエストすると、HTTP Referer ヘッダーがリクエスト元のページを示します。OSS はこの Referer の値を検証して、リクエストの送信元を確認します。

ホットリンク保護の設定後、OSS は次の順序でリクエストを評価します。

1. 空の Referer のチェック：OSS は Referer が空かどうかを確認します。空の場合、次のロジックが適用されます。

   • 空の Referer を許可する設定の場合、リクエストは許可されます。

   • 空の Referer を許可せず、ホワイトリストが空の場合、リクエストは許可されます。

   • 空の Referer を許可せず、ホワイトリストが空でない場合、リクエストは拒否されます。

   Referer が空でない場合、次のステップに進みます。

2. ブラックリストのチェック：OSS は Referer がブラックリストのいずれかのエントリに一致するかを確認します。一致する場合は即座に拒否され、ホワイトリストは確認されません。一致しない場合は処理を続行します。

3. ホワイトリストのチェック：OSS は Referer がホワイトリストのいずれかのエントリに一致するかを確認します。一致する場合はリクエストを許可し、一致しない場合は拒否します。

操作手順

1. バケット リストに移動し、対象のバケットをクリックします。

2. 左側のナビゲーションペインで、コンテンツセキュリティ > ホットリンク保護を選択します。ホットリンク保護 オプションを有効にし、必要に応じて Referer ルールを設定します:

   • [Referer ホワイトリスト]：リソースへのアクセスを許可するドメインです。1行に1つずつ入力します。

   • [Referer ブラックリスト]：アクセスを拒否するドメインです。1行に1つずつ入力します。ブラックリストはホワイトリストよりも優先されます。

   • [空の Referer を許可]：ブラウザからの直接アクセスなど、Referer ヘッダーを含まないリクエストを許可するかどうかを指定します。

   • [切り捨て QueryString を許可]：照合時に、URL 内の ? の後のクエリストリングを無視するかどうか。クエリストリングの解析ルール。

   Referer ルールはワイルドカードをサポートしています。

   ワイルドカード	説明	例
   *	0文字以上の任意の文字に一致します。	*.example.com は http://www.example.com および https://help.example.com に一致します。
   ?	任意の1文字に一致します。	http://www.aliyun?.com は http://www.aliyunc.com に一致します。

   リファラールールは、http://www.example.com:8080 や 10.10.10.10:8080 のように、ポートを含むドメインや IP アドレスにも対応しています。

   説明

   マッチングはプロトコルに依存します。http://www.aliyun.com のルールは https://www.aliyun.com には一致しません。HTTP と HTTPS の両方のエントリを追加してください。

3. 設定を適用するには、設定 をクリックします。

ユースケース

# ホワイトリストに登録された Referer からのリクエストをシミュレート (成功が期待される)
curl -e "http://www.aliyun.com" http://your-bucket-name.oss-cn-hangzhou.aliyuncs.com/demo.txt

# ホワイトリストに登録されていない Referer からのリクエストをシミュレート (AccessDenied が返されることが期待される)
curl -e "http://www.example.com" http://your-bucket-name.oss-cn-hangzhou.aliyuncs.com/demo.txt

# Referer が空のリクエストをシミュレート (成功が期待される)
curl http://your-bucket-name.oss-cn-hangzhou.aliyuncs.com/demo.txt

# 通常のウェブサイトからのリクエストをシミュレート (成功が期待される)
curl -e "http://www.example.com" http://your-bucket-name.oss-cn-hangzhou.aliyuncs.com/demo.txt

# ブラックリストに登録されたウェブサイトからのリクエストをシミュレート (AccessDenied が返されることが期待される)
curl -e "http://bad-site.example" http://your-bucket-name.oss-cn-hangzhou.aliyuncs.com/demo.txt

# Referer が空のリクエストをシミュレート (成功が期待される)
curl http://your-bucket-name.oss-cn-hangzhou.aliyuncs.com/demo.txt

# WeChat ミニプログラムからのリクエストをシミュレート (成功が期待される)
curl -e "https://servicewechat.com/wx1234567890abcdef/1/page-frame.html" http://your-bucket-name.oss-cn-hangzhou.aliyuncs.com/demo.txt

# 他の送信元からのリクエストをシミュレート (AccessDenied が返されることが期待される)
curl -e "http://www.example.com" http://your-bucket-name.oss-cn-hangzhou.aliyuncs.com/demo.txt

# Referer が空のリクエストをシミュレート (成功が期待される)
curl http://your-bucket-name.oss-cn-hangzhou.aliyuncs.com/demo.txt

# コンソールからのアクセスをシミュレート (成功が期待される)
curl -e "https://oss.console.alibabacloud.com" http://your-bucket-name.oss-cn-hangzhou.aliyuncs.com/demo.txt

# ウェブサイトからのリクエストをシミュレート (成功が期待される)
curl -e "http://www.example.com" http://your-bucket-name.oss-cn-hangzhou.aliyuncs.com/demo.txt

# 直接アクセスをシミュレート (AccessDenied が返されることが期待される)
curl http://your-bucket-name.oss-cn-hangzhou.aliyuncs.com/demo.txt

# 他のウェブサイトからのリクエストをシミュレート (AccessDenied が返されることが期待される)
curl -e "http://other.example" http://your-bucket-name.oss-cn-hangzhou.aliyuncs.com/demo.txt

クエリ文字列の解析ルール

[クエリ文字列の切り捨て] オプションを無効にした場合、OSS は次のようにクエリ文字列を解析します。

本番環境での考慮事項

• CDN キャッシュバイパスのリスク：ホットリンクリクエストが CDN エッジノードに到達し、キャッシュから提供されることで、OSS ホットリンク保護をバイパスする可能性があります。これを防ぐには、CDN でも 同じ Referer ホットリンク保護ルールを設定してください。

• ブラウザの Referrer-Policy の影響：ブラウザは Referrer-Policy ヘッダーをサポートしており、これによりクロスオリジンリクエストで送信される Referer 情報の量が制御されます。no-referrer などのポリシーでは、ブラウザが Referer を省略するため、OSS はこれらを Referer が空のリクエストとして扱います。ルールを設定する際にはこの点を考慮してください。

• ビデオ再生の互換性：ブラウザのネイティブ video タグは、Referer を含む初期リクエストと、空の Referer を含む後続のメディアデータリクエストを送信します。ビデオ再生が機能するようにするには、空の Referer を含むリクエストを許可する必要があります。

クォータと制限

• 匿名アクセスまたは署名付き URL。 AccessKey で署名された API コール (Authorization ヘッダーを含むリクエスト) は、ホットリンク防止ルールによる制限を受けません。

• リストサイズの制限：Referer ホワイトリストとブラックリストの合計サイズは 20 KB を超えることはできません。

• 適用範囲：ホットリンク保護はバケットレベルで適用されます。オブジェクトごと、またはディレクトリごとのルールはサポートされていません。

よくある質問