Wenn eine andere Website deine Bilder anzeigt, ohne sie zu kopieren, lädt jeder Aufruf sie von deinem Server: Deine Bandbreite bezahlt ihre Seite. Der Tab Hotlinks von WP Masquerade Pro zeigt dir, welche Websites das tun, mit welchen Bildern und in welchem Umfang, und lässt dich sie erlauben, sperren oder alle deine Bilder auf einmal schützen.
Was ist Hotlinking?
Beim Hotlinking (auch „Direktverlinkung“) bindet eine Seite die Adresse eines Bildes ein, das auf einer anderen Website liegt, statt die Datei zu kopieren. Das Bild erscheint dort, ausgeliefert wird es aber von deinem Server, bei jedem Besuch. Der Browser nennt die aufrufende Seite in der Regel im Header Referer: Daran lassen sich diese Anfragen erkennen.
- Eine andere Website bindet dein Bild einIhre Seite enthält
<img src="https://deine-website.de/wp-content/uploads/foto.jpg">, ohne Kopie der Datei. - Ihr Besucher öffnet die SeiteDer Browser fordert das Bild bei deinem Server an, mit dem Header
Referer: https://andere-website.example/. - Dein Server liefert das Bild ausBei jedem Aufruf: Deine Bandbreite und dein Server arbeiten für ihre Seite.
- Mit WP Masquerade ProModus Erkennen: Die Website wird im Bericht gezählt. Modus Schützen: Sie erhält „Bild geschützt“, ein transparentes Pixel oder einen 403-Fehler.
Warum das wichtig ist
- Bandbreite: Ein Foto auf einer viel besuchten Seite einer anderen Website schickt dein Server an jeden ihrer Besucher. Wenn dein Hosting den Traffic begrenzt oder berechnet, zahlst du.
- Serverlast: Diese Anfragen kommen zu denen deiner eigenen Besucher hinzu, ohne dir etwas zu bringen.
- Nutzung deiner Bilder: Deine Fotos, Grafiken oder Werke illustrieren die Seite eines anderen, oft ohne deine Zustimmung und ohne Link zu dir. Der Bericht zeigt dir, wer das tut, damit du mit allen Fakten entscheiden kannst.
Drei Modi Pro-Funktion
| Modus | Was andere Websites erhalten | Was aufgezeichnet wird |
|---|---|---|
| Aus (Standard) | Deine Bilder, wie gewohnt. Es wird keine Serverregel installiert. | Nichts. |
| Erkennen | Deine Bilder, wie gewohnt. | Die Website, das Bild, die Zahl der Anfragen und die gesendete Größe. |
| Schützen | Nach Wahl: ein Bild „Bild geschützt“ (in der Sprache der Website), ein transparentes Pixel (das Bild verschwindet) oder einen 403-Fehler. | Dasselbe, dazu die Zahl der abgelehnten oder ersetzten Anfragen. |
Überwacht werden die Bilder der Mediathek (JPEG, PNG, GIF, WebP und AVIF), optional auch die Bilder des Themes und SVG-Dateien.
Was erlaubt bleibt
Deine eigene Website (mit und ohne www) und Anfragen ohne Referer werden immer ausgeliefert. Vier Gruppen sind außerdem standardmäßig erlaubt, damit deine Bilder dort sichtbar bleiben, wo sie dir Besucher bringen:
- Suchmaschinen und Bildersuche: Google (auch Google Bilder), Bing, Yandex, DuckDuckGo, Baidu, Ecosia, Qwant;
- soziale Netzwerke und Messenger, mit ihren Linkvorschauen: Facebook, X, LinkedIn, Pinterest, Reddit, WhatsApp, Telegram, Slack, Discord;
- Feedreader: Feedly, Inoreader, NewsBlur;
- Übersetzungs- und Cache-Proxys: Google Übersetzer und der Google-Cache.
Eine Domain erlauben oder sperren
Im Bericht fügen die Schaltflächen Erlauben und Sperren eine Domain mit einem Klick zu deinen Listen hinzu. Du kannst sie auch von Hand füllen, eine Regel pro Zeile (höchstens 200 pro Liste): beispiel.de nur für diese Domain, *.beispiel.de für die Domain und alle Subdomains, name.* für diesen Namen mit beliebiger Endung. Eine Website, die in beiden Listen steht, ist erlaubt. Praktisch für einen Partner, eine alte Domain oder deine eigene Demo-Website.
Der Bericht: Wer zeigt deine Bilder an?
Die Karte „Websites, die deine Bilder anzeigen“ fasst die letzten 7, 30 oder 90 Tage zusammen: Zahl der Websites, Anfragen, geschätzte Bandbreite und abgelehnte oder ersetzte Anfragen. Für jede Domain:
- die Zahl der verwendeten Bilder, die Anfragen und die geschätzte Bandbreite, mit dem Datum des letzten Aufrufs;
- die meistabgerufenen Bilder als Vorschaubilder;
- eine Detailseite, Bild für Bild, mit einem Link, um die betreffende Website zu öffnen;
- den CSV-Export des gewählten Zeitraums für eine Tabellenkalkulation.
Der Bericht wird stündlich und bei jedem Öffnen des Tabs aktualisiert. Er wird standardmäßig 90 Tage aufbewahrt (7 bis 365 Tage, nach Wahl). Es wird keine IP-Adresse gespeichert, kein Cookie und kein Browser: eine Zeile pro Tag, Website und Bild, mit der Zahl der Anfragen und der ausgelieferten Größe.
Benachrichtigungen und Wochenbericht
Eine Website, die diese Woche zum ersten Mal auftaucht, wird dir per E-Mail gemeldet, sobald sie eine bestimmte Zahl von Anfragen erreicht (standardmäßig 20, 0 für nie), einmal pro Domain. Bereits erlaubte Websites lösen keine Benachrichtigung aus. Der Sicherheitsbericht am Montag enthält den aktiven Modus, die Anfragen der Woche, die Bandbreite und die neuen Websites. Änderungen an Modus und Listen erscheinen im Aktivitätsprotokoll.
Einrichtung je nach Webserver
| Server | Was das Plugin tut |
|---|---|
| Apache, LiteSpeed | Es schreibt seinen Regelblock an den Anfang der .htaccess (mit einer Kopie der vorherigen Version), prüft ihn und entfernt ihn, wenn ein Problem auftritt, im Modus Aus, wenn die Lizenz nicht mehr aktiv ist oder wenn das Plugin deaktiviert wird. |
| Nginx | Nginx liest keine .htaccess: Das Plugin zeigt den Block an, den du in die Serverkonfiguration kopierst, testest und neu lädst. |
| IIS, Caddy | Von dieser Funktion nicht unterstützt. |
Die Schaltfläche Regeln testen ruft eines deiner Bilder so ab, wie es eine andere Website tun würde, ohne etwas zum Bericht hinzuzufügen. Wird das Bild nicht korrekt ausgeliefert, werden die Regeln sofort entfernt.
Nur Bildanfragen von anderen Websites laufen über den Endpunkt des Plugins: Deine eigenen Seiten und Anfragen ohne Referer liefert der Server direkt aus. Der Endpunkt ist schlank: Er lädt WordPress nicht, liest und speichert keine IP-Adresse und liefert das Bild bei einem Fehler ganz normal aus. Ein Besucher verliert durch ihn nie ein Bild.
Grenzen
- Anfragen ohne Referer (direkt eingegebene Adresse, Datenschutzeinstellungen oder Browser-Erweiterungen, manche Apps) werden immer ausgeliefert und lassen sich nicht erkennen.
- Bilder, die ein CDN oder der Cloudflare-Cache ausliefert, erreichen deinen Server nicht: Sie werden hier weder gezählt noch geschützt. Aktiviere bei Cloudflare Hotlink Protection (Scrape Shield). Werden deine Medien von einer anderen Adresse ausgeliefert (CDN, Plugin zum Auslagern von Medien), schaltet sich die Funktion nicht ein und der Tab erklärt, warum.
- Eine Kopie deines Bildes auf einer anderen Website ist kein Hotlinking: Sie liegt außerhalb der Reichweite dieser Funktion.
- Die Bandbreite wird anhand der Größe der ausgelieferten Dateien geschätzt; Browser-Caches senken den tatsächlichen Wert.
- Multisite-Installationen werden nicht unterstützt.
- Abgelaufene Lizenz: Die Regeln werden automatisch entfernt, alle Bilder werden normal ausgeliefert und der Bericht bleibt lesbar.
Häufige Fragen zum Hotlinking
Bleiben meine Bilder in der Google-Bildersuche sichtbar?
Ja. Suchmaschinen und ihre Bildersuche (Google, Bing, Yandex, DuckDuckGo, Baidu, Ecosia, Qwant) sind standardmäßig erlaubt, ebenso soziale Netzwerke und ihre Linkvorschauen. Du kannst eine Gruppe abwählen, wenn du möchtest.
Kann der Modus Schützen die Bilder meiner Website kaputt machen?
Deine eigenen Seiten laufen nicht über den Endpunkt: Sie erhalten immer die echten Bilder. Die Regeln werden getestet und entfernt, wenn der Test fehlschlägt; bei einem Fehler liefert der Endpunkt das Originalbild aus. Das Ersatzbild wird mit Cache-Control: private, no-store und Vary: Referer gesendet, damit ein gemeinsamer Cache es nicht an deine Besucher ausliefert.
Mit welchem Modus fange ich an?
Mit dem Modus Erkennen, für ein paar Tage: Für niemanden ändert sich etwas, und der Bericht zeigt dir, wer deine Bilder nutzt. Erlaube die legitimen Websites (Partner, alte Domains) und wechsle dann in den Modus Schützen oder sperre nur die störenden Domains.
Meine Website läuft hinter Cloudflare: Bringt die Funktion etwas?
Teilweise. Bilder aus dem Cloudflare-Cache erreichen deinen Server nicht und werden nicht gesehen. Für sie aktivierst du Hotlink Protection unter Scrape Shield im Cloudflare-Dashboard. Anfragen, die deinen Server erreichen, werden weiterhin erkannt und geschützt. Siehe auch die Cloudflare-Unterstützung.
Starte kostenlos und wechsle zu Pro, wenn du so weit bist
Die kostenlose Version versteckt WordPress bereits, verlegt die Anmeldeseite, sperrt XML-RPC und zählt die Bots. Pro sichert die Anmeldungen ab, benennt die Dateiadressen um und überwacht deine Websites für dich: bekannte Sicherheitslücken, Integrität des Kerns, Aktivitätsprotokoll, Bilder-Hotlinking, E-Mail-Benachrichtigungen und Update-Status all deiner Websites in deinem Kundenbereich. Ab 59 € netto pro Jahr, deutlich weniger als die Bereinigungsangebote, deren Preise wir erhoben haben. Kosten vergleichen.
