Suoralinkityksen Estäminen (Hotlinking)

Oletko koskaan huomannut, että verkkosivustosi hidastuu selittämättömästi tai isännöintilaskusi nousevat, vaikka kävijämääräsi eivät ole kasvaneet räjähdysmäisesti? Syyllinen saattaa olla näkymätön resurssivaras: suoralinkitys (englanniksi hotlinking).

Tämän ilmiön ymmärtämiseksi on olemassa loistava vertauskuva:

Kuvittele tilanne, jossa naapurisi kytkisi jatkojohdon sinun talosi pistorasiaan ja käyttäisi sinun sähköäsi oman talonsa valaisemiseen. Sinä maksat laskun, naapuri saa hyödyn. Suoralinkitys on digitaalisessa maailmassa juuri tätä.

Toiset sivustot voivat upottaa sinun palvelimellasi olevia kuvia, PDF-tiedostoja tai videoita suoraan omille sivuilleen. Joka kerta, kun joku lataa heidän sivunsa, sinun palvelimesi joutuu töihin ja sinun kaistanleveytesi kuluu. Tässä oppaassa käymme läpi, miten tunnistat ongelman ja ennen kaikkea, miten estät sen tehokkaasti eri alustoilla.

Viisi keskeistä faktaa

1. Kaistanleveyden menetys on pääasiallinen haitta: Suoralinkitys pakottaa palvelimesi käyttämään resursseja ulkopuolisten sivustojen hyväksi. Tämä voi hidastaa omaa sivustoasi merkittävästi ja nostaa isännöintikuluja.
2. Referer-otsake on suojauksen kulmakivi: Suurin osa estomekanismeista perustuu HTTP Referer -otsakkeen tarkistamiseen. Jos pyyntö ei tule sallitusta osoitteesta, ovi pysyy kiinni.
3. Toteutus vaihtelee palvelimen mukaan: Apache-palvelimilla esto tehdään .htaccess-tiedostossa, kun taas NGINX-palvelimilla hyödynnetään valid_referers-direktiiviä.
4. CDN-virheet voivat olla kalliita: Jos estät pyynnöt CDN:ssä (esim. 403 Forbidden -virheellä), varmista, että nämä virheet tallentuvat välimuistiin. Muuten estetyt pyynnöt voivat silti aiheuttaa valtavan kustannuspiikin.
5. Allekirjoitetut URL-osoitteet tarjoavat parhaan suojan: Jos suojaat arvokasta sisältöä, Signed URLs -menetelmä on Referer-tarkistusta turvallisempi, sillä se vaatii kryptografisen allekirjoituksen.

1. Mitä on Suoralinkitys (Hotlinking) ja miksi se haittaa sivustoasi?

Teknisesti suoralinkitys tapahtuu, kun kolmannen osapuolen verkkosivusto lisää koodiinsa resurssin (kuten kuvan) käyttämällä sinun sivustollasi olevaa suoraa URL-osoitetta.

Esimerkiksi, jos sinulla on upea valokuva osoitteessa sinunsivusi.fi/kuvat/maisema.jpg, toinen sivusto voi kirjoittaa koodiinsa <img src="https://sinunsivusi.fi/kuvat/maisema.jpg">. Kun käyttäjä vierailee tuolla toisella sivustolla, hänen selaimensa hakee kuvan sinun palvelimeltasi.

Tämä näyttää viattomalta, mutta vaikutukset voivat olla vakavia:

• Kasvavat kustannukset: Jos maksat kaistanleveydestä tai siirretystä datasta, maksat laskun toisen sivuston liikenteestä.
• Suorituskyvyn heikkeneminen: Palvelimesi prosessointiteho kuluu kuvien tarjoiluun ulkopuolisille, mikä hidastaa sivustoasi oikeille asiakkaillesi.
• Tilastojen vääristyminen: Palvelinlokisi täyttyvät "roskaliikenteestä", mikä vaikeuttaa todellisen kävijädatan analysointia.

Suojauksen periaate on yksinkertainen: palvelin tarkistaa jokaisen pyynnön yhteydessä HTTP Referer -otsakkeen. Tämä otsake kertoo, mistä sivulta pyyntö on peräisin. Jos otsake ei sisällä sinun verkkotunnustasi (tai ole sallittujen listalla), palvelin estää pyynnön.

2. .htaccess suoralinkityksen esto

Apache on maailman yleisin verkkopalvelinohjelmisto, ja jos käytät esimerkiksi WordPressiä jaetussa webhotellissa, käytät todennäköisesti Apachea. Tällöin sinulla on kaksi päätapaa estää resurssivarkaudet.

.htaccess-tiedoston muokkaaminen

Tämä menetelmä antaa sinulle täyden hallinnan sääntöihin. .htaccess on asetustiedosto, joka ohjaa palvelimen käyttäytymistä kansiotasolla.

Lisäämällä seuraavan koodilohkon .htaccess-tiedostoosi, voit estää luvattomat pyynnöt:

RewriteEngine on
RewriteCond %{HTTP_REFERER} !^$
RewriteCond %{HTTP_REFERER} !^http(s)?://(www\.)?sinunsivusi.fi [NC]
RewriteCond %{HTTP_REFERER} !^http(s)?://(www\.)?google.com [NC]
RewriteRule \.(jpg|jpeg|png|gif)$ - [NC,F,L]

Mitä tämä koodi tekee?

1. RewriteCond: Nämä rivit asettavat ehdot. Koodi sanoo: "Jos referer ei ole tyhjä JA jos referer ei ole minun sivustoni JA jos referer ei ole Google..."
2. RewriteRule: "...niin estä pääsy (F = Forbidden) kaikkiin tiedostoihin, jotka päättyvät .jpg, .jpeg, .png tai .gif."

Tuonetti webhotelli hotlink protection

Jos koodin käpälöinti hirvittää, meidän webhotelli tarjoaa graafisen ratkaisun Pleskin kautta.

1. Kirjaudu Pleskiin.
2. Etsi WordPress -> Security-osiosta työkalu nimeltä Hotlink Protection.
3. Klikkaa "Enable".

3. NGINX Hotlink Protection: valid_referers -direktiivin Konfiguraatio

NGINX on tunnettu nopeudestaan, ja sen konfiguraatio eroaa hieman Apachesta. NGINXissä käytetään valid_referers -direktiiviä määrittämään, ketkä saavat ladata sisältöäsi.

Lisää seuraava lohko palvelimesi konfiguraatiotiedostoon (usein nginx.conf tai sivustokohtainen tiedosto):

location ~ \.(gif|png|jpeg|jpg|svg)$ {
    valid_referers none blocked sinunsivusi.fi *.sinunsivusi.fi google.com bing.com;

    if ($invalid_referer) {
        return 403;
    }
}

Selitys:

• location ~ ...: Määrittää tiedostopäätteet, joita sääntö koskee (esim. kuvat ja SVG:t).
• valid_referers: Listaa sallitut lähteet. none sallii pyynnöt ilman refereriä (tärkeää yksityisyysasetuksia käyttäville selaimille) ja blocked sallii pyynnöt, joissa referer on piilotettu palomuurilla.
• if ($invalid_referer): Jos pyyntö ei tule listatusta lähteestä, palvelin palauttaa 403 Forbidden -virheen.

4. CDN-suojaus: Hotlinkingin Esto Cloudflaren ja AWS WAF:n Avulla

Nykyaikaisessa webissä suuri osa liikenteestä kulkee sisällönjakeluverkkojen (CDN) kautta. Suoralinkityksen estäminen CDN-tasolla on usein tehokkain ratkaisu, koska se pysäyttää "varkaat" jo verkon reunalla (edge locations), ennen kuin pyyntö ehtii kuormittaa omaa palvelintasi.

Cloudflare Scrape Shield

Cloudflare on tehnyt tästä äärimmäisen helppoa.

1. Mene Cloudflaren hallintapaneeliin.
2. Valitse Scrape Shield -välilehti.
3. Etsi kohta Hotlink Protection.
4. Käännä kytkin asentoon On.

Tämä estää muita sivustoja linkittämästä kuviisi, mutta sallii älykkäästi hakukoneet ja sosiaalisen median ilman monimutkaista konfiguraatiota.

AWS WAF ja CloudFront

Jos käytät Amazon Web Services (AWS) -ympäristöä, voit hyödyntää AWS WAF (Web Application Firewall) -palvelua.

• Voit luoda WAF-säännön, joka tarkistaa saapuvan Referer-otsakkeen.
• Tämä sääntö liitetään CloudFront-jakeluun.
• Tämä on suositeltavaa, kun haluat suojata staattista sisältöä globaalisti ja estää kaistanleveyden kulumisen S3-ämpäreistä tai EC2-instansseista.

5. Signed URLs: Edistynyt Suojaus Allekirjoitetuilla URL-osoitteilla

Joskus pelkkä referer-tarkistus ei riitä. Referer-otsikkoa voidaan manipuloida tai se voi puuttua tietyissä sovelluksissa. Jos sivustollasi on myytäviä digitaalisia tuotteita (esim. e-kirjat, kurssimateriaalit) tai muuta arkaluontoista materiaalia, tarvitset järeämmät keinot.

Tässä kohtaa kuvaan astuvat allekirjoitetut URL-osoitteet (Signed URLs).

Allekirjoitetut URL-osoitteet tarjoavat referer-tarkistusta vankemman suojauksen. Linkki ei ole pysyvä, vaan se sisältää:

1. Vanhentumisajan: Linkki toimii esimerkiksi vain 60 minuuttia.
2. Kryptografisen allekirjoituksen: Vahvistaa, että linkki on luotu sinun palvelimellasi eikä sitä ole peukaloitu.

6. Whitelist: Hakukoneiden Salliminen ja Yleiset Virheet Estossa

Suoralinkityksen estossa yleisin virhe on olla liian aggressiivinen. Jos estät kaikki ulkopuoliset pyynnöt, saatat vahingossa "sahata omaa oksaasi".

Sinun on ehdottomasti luotava sallittujen lista (whitelist). Tärkeimmät sallittavat tahot ovat:

• Hakukoneet: Google, Bing, DuckDuckGo. Jos estät nämä, kuvasi katoavat Googlen kuvahausta, mikä voi romahduttaa liikenteesi.
• Sosiaalinen media: Facebook, Twitter (X), LinkedIn, Pinterest. Nämä palvelut hakevat kuvasi luodakseen esikatselukortin (preview), kun joku jakaa linkkisi. Jos estät ne, linkkisi näyttävät rikkinäisiltä some-virrassa.

Vinkki: Jos huomaat, että suosittu blogi tai kumppani on linkittänyt sisältöösi hyvällä tavalla (tuoden liikennettä), lisää myös heidät erikseen sallittujen listalle.

7. Suojauksen Testaus, Välimuisti ja Kustannusten Hallinta

Kun olet ottanut suojaukset käyttöön, prosessi ei lopu tähän. Huolimaton konfiguraatio voi johtaa yllättäviin kustannuksiin.

Testaus curl-komennolla

Älä luota sokeasti asetuksiin, vaan testaa ne. Voit käyttää komentoriviltä curl-komentoa simuloidaksesi varkautta:

curl -I -e http://pahasivusto.com https://sinunsivusi.fi/kuva.jpg

Jos saat vastaukseksi HTTP/1.1 403 Forbidden, suojaus toimii.

Kriittinen varoitus: CDN ja kustannusriski

Tämä on kohta, jossa moni tekee kalliin virheen. CDN-palvelut veloittavat usein jokaisesta pyynnöstä – myös virhepyynnöistä.

Jos suosittu sivusto linkittää kuvaasi ja estät sen palauttamalla 403 Forbidden -koodin, tuo sivusto saattaa silti yrittää ladata kuvaa tuhansia kertoja minuutissa. Jos CDN ei tallenna virhettä välimuistiin, jokainen yritys laskutetaan sinulta.

Ratkaisu: Varmista, että CDN-asetuksissasi on päällä Negative Caching (virheiden välimuistitus). Jos CDN "muistaa", että kyseinen pyyntö on kielletty seuraavan tunnin ajan, se torjuu miljoonat pyynnöt reunalla ilman lisäkustannuksia.