Prevent malicious traffic with Referer rules - CDN: Central de Documentação do Alibaba Cloud

Uma blacklist ou whitelist de Referer controla o acesso aos seus recursos com base no cabeçalho Referer das requisições HTTP. Esse recurso impede hotlinking e uso não autorizado de recursos. Após a configuração, CDNDCDN avalia o cabeçalho Referer para conceder ou negar o acesso.

Importante

Por padrão, o recurso de blacklist/whitelist de Referer para Alibaba Cloud CDNDCDN está desativado, permitindo que qualquer site acesse seus recursos.
Blacklists e whitelists de Referer são uma das formas de evitar hotlinking. Para conhecer outros métodos, consulte Best practices for preventing hotlinking.
Ao adicionar um domínio como aliyundoc.com a uma lista de Referer, CDNDCDN aplica a regra ao próprio domínio e a todos os seus subdomínios (como *.aliyundoc.com).

Anatomia de um Referer

O cabeçalho Referer indica a URL da página de onde uma requisição se originou. Uma URL de Referer é composta por esquema, domínio, caminho e parâmetros de consulta, conforme ilustrado na figura a seguir.

Nota

O valor de um cabeçalho Referer é essencialmente uma URL.
O Alibaba Cloud suporta configurações de Referer apenas com domínio. Para ativar essa opção, selecione Ignore Scheme.

Casos de uso

Uma blacklist ou whitelist de Referer protege principalmente os recursos do seu site contra links diretos ou uso indevido por outros sites. Os casos de uso mais comuns incluem:

Proteção de direitos autorais: Para sites com conteúdo protegido por direitos autorais, use uma whitelist de Referer para restringir o acesso apenas a sites autorizados.
Prevenção de hotlinking: Uma whitelist garante que seus recursos sejam acessados somente a partir de sites específicos, impedindo que outros sites consumam sua largura de banda por meio de links diretos para o seu conteúdo.
Segurança aprimorada do site: Ao permitir que apenas sites específicos acessem seus recursos, você evita hotlinking malicioso, acesso não autorizado e roubo de informações confidenciais.
Controle de origem do tráfego: Restrinja o tráfego proveniente de sites específicos para controlar as fontes de tráfego e melhorar a estabilidade e a segurança do seu site.

Como funciona

Um Point of Presence (POP) verifica o cabeçalho Referer de cada requisição. Se o Referer não estiver na whitelist ou estiver na blacklist, o POP rejeita a requisição. Isso economiza largura de banda e reduz a carga no servidor de origem. CDNDCDN aplica as seguintes regras ao processar requisições com Referer:

Se o Referer de uma requisição corresponder a uma entrada da blacklist ou não corresponder a nenhuma entrada da whitelist, CDNDCDN rejeita a requisição.
Se o Referer de uma requisição corresponder a uma entrada da whitelist, CDNDCDN permite a requisição.

Observações de uso

Após configurar uma blacklist de Referer, as requisições de fontes bloqueadas ainda chegam aos POPs do CDNDCDN. No entanto, essas requisições são rejeitadas com o código de status 403 e registradas nos logs do CDNDCDN.
O recurso de blacklist/whitelist de Referer aplica controle de acesso com base no cabeçalho Referer de uma requisição HTTP. O bloqueio de requisições gera uma pequena cobrança pelo tráfego gerado. Para HTTPS, há também uma cobrança por requisição.
Como o hotlinking de CDN origina-se de acesso por rede pública, as regras de Referer se aplicam apenas a domínios públicos.

Procedimento

Acesse o CDN console.
No painel de navegação à esquerda, clique em Domain Names.
Na página Domain Names, localize o domínio desejado e clique em Manage na coluna Actions.
No painel de navegação do domínio, clique em Access Control.
Na aba Referer Black/Whitelist, clique em Modify.
Configure os parâmetros de Referer. Para mais informações, consulte Referer configuration parameters.
Clique em OK para salvar a configuração.

Parâmetros de configuração do Referer

Parâmetro		Descrição
Type		Blacklist O POP nega o acesso a requisições que contenham um Referer da blacklist. Whitelist O POP permite apenas requisições que contenham um Referer da whitelist. Nota Blacklists e whitelists são mutuamente exclusivas. Só é possível selecionar um tipo por vez.
Rules		É possível adicionar vários Referers. Separe cada entrada com uma quebra de linha. Use um asterisco () como caractere curinga para corresponder a todos os subdomínios. Por exemplo, .example.com corresponde a todos os subdomínios de `example.com`. Se nenhum caractere curinga for especificado, uma entrada corresponde tanto ao próprio domínio quanto a todos os seus subdomínios. Por exemplo, uma entrada para `example.com` corresponde a `example.com` e a `.example.com`. Nota* O tamanho total de todas as regras em uma lista de Referer não pode exceder 60 KB. Não é necessário incluir o esquema nas regras.
Redirect URL		Quando uma requisição é bloqueada, o POP retorna um redirecionamento 302 com um cabeçalho de resposta Location. Este parâmetro especifica o valor do cabeçalho Location. A URL deve começar com `http://` ou `https://`. Exemplo: `http://www.example.com`.
Advanced Settings	Allow resource URL access from browsers	Esta opção está desmarcada por padrão. Quando selecionada, requisições com Referer vazio não são bloqueadas e podem acessar o recurso, independentemente das configurações da lista. Um Referer vazio é definido como qualquer uma das seguintes situações: A requisição não inclui um cabeçalho Referer. O valor do cabeçalho Referer está vazio.
	Exact Match	Esta opção está desmarcada por padrão. Quando selecionada, o comportamento padrão de correspondência de subdomínios é desativado. Sem o uso de caractere curinga, uma entrada como `example.com` corresponde apenas a `example.com`.
	Ignore Scheme	Se a opção Ignore Scheme estiver desmarcada, o cabeçalho Referer deve incluir um esquema HTTP ou HTTPS. Quando a opção Ignore Scheme é selecionada, o cabeçalho Referer não precisa incluir um esquema.
Rule Condition		Uma condição de regra identifica diversas informações de parâmetros em uma requisição do usuário. Isso determina se uma configuração entra em vigor para aquela requisição. Importante Ao referenciar condições de regra, a correspondência é feita com base na prioridade das condições de regra associadas, e não na ordem de configuração do próprio recurso. Do not use: Não utiliza uma condição de regra. Para adicionar ou edite condições de regra, gerencie-as em Rules Engine.

Verificação da configuração

Use o comando curl para testar sua configuração. Utilize a opção -e para especificar o valor do Referer e a opção -I para recuperar apenas os cabeçalhos de resposta do domínio acelerado. Os exemplos a seguir utilizam uma whitelist para verificação.

Cenário 1: somente o parâmetro Rules

Nota

Neste cenário, uma regra de Referer para aliyun.com está configurada. Os parâmetros Redirect URL, Advanced Settings e Rule Condition não estão configurados.
Essa configuração corresponde a requisições que contêm um Referer de http(s)://aliyun.com ou de seus subdomínios. Requisições com Referers que não estão na whitelist são rejeitadas.

Teste o acesso com um Referer do domínio principal. Comando: curl -e http://aliyun.com -I <accelerated_domain_name>.
```
HTTP/1.1 200 OK
Server: Tengine
```
Teste o acesso com um Referer de um subdomínio. Comando: curl -e http://sub.aliyun.com -I <accelerated_domain_name>.
```
HTTP/1.1 200 OK
Server: Tengine
```
Teste o acesso com um Referer de um domínio diferente. Comando: curl -e http://aIiyun.com -I <accelerated_domain_name>.
```
HTTP/1.1 403 Forbidden
Server: Tengine
```
Teste o acesso com um Referer vazio. Comando: curl -e "" -I <accelerated_domain_name>.
```
HTTP/1.1 403 Forbidden
Server: Tengine
```
Teste o acesso com um Referer contendo apenas o domínio, sem esquema. Comando: curl -e aliyun.com -I <accelerated_domain_name>.
```
HTTP/1.1 403 Forbidden
Server: Tengine
```

Cenário 2: Rule e Allow resource URL access from browsers

Nota

Neste cenário, a regra de Referer está definida como aliyun.com e a opção de permitir acesso direto a URLs de recursos pelo browser está selecionada. As demais configurações avançadas, o Redirect URL e a condição de regra não estão configurados.
Em comparação com o Cenário 1, esta configuração também permite requisições com Referer vazio, como as provenientes de acesso direto pelo browser.

Teste o acesso sem Referer. Comando: curl -I <accelerated_domain_name>.
```
HTTP/1.1 200 OK
Server: Tengine
```
Teste o acesso com um valor de Referer em branco (""). Comando: curl -e "" -I <accelerated_domain_name>.
```
HTTP/1.1 200 OK
Server: Tengine
```

Cenário 3: Rule e Ignore Scheme

Nota

Neste cenário, a regra de Referer está definida como aliyun.com e a opção Ignore Scheme está selecionada. As demais configurações avançadas, o Redirect URL e a condição de regra não estão configurados.
Esta configuração é semelhante ao Cenário 1, mas também permite requisições de Referer que não incluem um esquema, como uma requisição com apenas o nome de domínio aliyun.com.

Teste o acesso com um Referer sem esquema. Comando: curl -e aliyun.com -I <accelerated_domain_name>.

HTTP/1.1 200 OK
Server: Tengine

Perguntas frequentes

Esquema ausente no Referer

Na maioria dos casos, o cabeçalho Referer em uma requisição do usuário inclui um esquema HTTP ou HTTPS. No entanto, em determinadas situações, o Referer pode não conter um esquema.

Um cenário comum ocorre quando um usuário navega de um site não seguro (que usa HTTP) para um site seguro (que usa HTTPS). Os browsers podem modificar ou remover o cabeçalho Referer com base em políticas de segurança, como a Referrer-Policy, para proteger os dados do usuário. Nesse caso, o cabeçalho Referer pode conter apenas o domínio, sem o esquema.

Além disso, alguns browsers ou servidores proxy podem remover automaticamente o cabeçalho Referer em situações específicas, como quando o modo de navegação privada está ativo ou quando o site é acessado por meio de um proxy anônimo.

Portanto, é necessário considerar requisições que não possuem esquema no cabeçalho Referer. Para corresponder a esse tipo de requisição, selecione a opção Ignore Scheme.

Tratamento de Referer vazio

Um Referer vazio ocorre quando o cabeçalho Referer está ausente de uma requisição HTTP ou quando seu valor está vazio. Normalmente, o cabeçalho Referer contém um URI completo que inclui o esquema (como http ou https), um hostname e, possivelmente, um caminho e uma string de consulta. Um Referer vazio pode ocorrer nos seguintes cenários:

Acesso direto: Quando um usuário digita uma URL diretamente na barra de endereços do browser, usa um favorito ou abre um link em uma nova aba em branco, não existe uma página de referência. Portanto, o cabeçalho Referer fica vazio.
Privacidade do usuário: O próprio usuário ou um software utilizado por ele, como uma extensão de browser ou o modo de navegação privada, pode remover intencionalmente o cabeçalho Referer para proteger a privacidade.
Protocolo de segurança: Quando um usuário navega de uma página HTTPS para uma página HTTP, o browser geralmente não envia o cabeçalho Referer para evitar o vazamento de informações confidenciais.
Política do lado do cliente: Alguns sites ou aplicações podem controlar o envio do cabeçalho Referer por razões de segurança, definindo uma tag <meta> ou um cabeçalho HTTP como Referrer-Policy.
Requisição de origem cruzada: Algumas requisições de origem cruzada podem não incluir o cabeçalho Referer em razão das políticas de segurança do browser.

O tratamento de requisições com Referer vazio depende do seu caso de uso específico e dos requisitos de segurança. Veja a seguir algumas recomendações:

Política padrão: Se o seu service não depende das informações do Referer para tomar decisões, permita requisições com Referer vazio.
Permitir acesso: Para URLs ou origens específicas, selecione a opção Allow resource URL access from browsers. Isso permite o acesso mesmo quando o Referer está vazio. Nesse caso, os POPs do CDN and DCDN concedem acesso ao recurso.