Hotlinkbescherming voor afbeeldingen

Als een andere site je afbeeldingen toont zonder ze te kopiëren, haalt elke weergave ze op van jouw server: jouw bandbreedte betaalt voor hun pagina. Het tabblad Hotlinks van WP Masquerade Pro laat zien welke sites dat doen, met welke afbeeldingen en hoeveel verkeer, en laat je ze toestaan, blokkeren of al je afbeeldingen in één keer beschermen.

Wat is hotlinking?

Bij hotlinking (of ‘direct linken’) zet een pagina het adres van een afbeelding die op een andere site staat in de code, in plaats van het bestand te kopiëren. De afbeelding verschijnt op hun site, maar jouw server levert haar, bij elk bezoek. De browser vermeldt de pagina van herkomst meestal in de header Referer: daaraan zijn deze verzoeken te herkennen.

1. Een andere site neemt je afbeelding opHun pagina bevat <img src="https://jouw-site.nl/wp-content/uploads/foto.jpg">, zonder kopie van het bestand.
2. Hun bezoeker opent de paginaDe browser vraagt de afbeelding op bij jouw server, met de header Referer: https://andere-site.example/.
3. Jouw server stuurt de afbeeldingBij elke weergave: jouw bandbreedte en jouw server werken voor hun pagina.
4. Met WP Masquerade ProModus Detecteren: de site wordt geteld in het rapport. Modus Beschermen: hij krijgt ‘Afbeelding beschermd’, een transparante pixel of een 403-fout.

Waarom het ertoe doet

• Bandbreedte: een foto op een drukbezochte pagina van een andere site stuurt jouw server naar elk van hun bezoekers. Als je hosting het verkeer beperkt of factureert, betaal jij.
• Serverbelasting: deze verzoeken komen bovenop die van je eigen bezoekers, zonder dat ze je iets opleveren.
• Gebruik van je beelden: je foto's, schema's of creaties illustreren de pagina van een ander, vaak zonder je toestemming en zonder link naar jou. Het rapport vertelt je wie dat doet, zodat je met kennis van zaken beslist.

Drie modi ProPro-functie

Modus	Wat andere sites krijgen	Wat er wordt vastgelegd
Uit (standaard)	Je afbeeldingen, zoals altijd. Er wordt geen serverregel geïnstalleerd.	Niets.
Detecteren	Je afbeeldingen, zoals altijd.	De site, de afbeelding, het aantal verzoeken en de verzonden grootte.
Beschermen	Naar keuze: een afbeelding ‘Afbeelding beschermd’ (in de taal van de site), een transparante pixel (de afbeelding verdwijnt) of een 403-fout.	Hetzelfde, plus het aantal geweigerde of vervangen verzoeken.

Bewaakt worden de afbeeldingen uit de mediabibliotheek (JPEG, PNG, GIF, WebP en AVIF) en, als je dat wilt, de afbeeldingen van het thema en SVG-bestanden.

Wat toegestaan blijft

Je eigen site (met en zonder www) en verzoeken zonder Referer worden altijd bediend. Vier groepen zijn ook standaard toegestaan, zodat je afbeeldingen zichtbaar blijven waar ze je bezoekers opleveren:

• zoekmachines en zoeken naar afbeeldingen: Google (ook Google Afbeeldingen), Bing, Yandex, DuckDuckGo, Baidu, Ecosia, Qwant;
• sociale netwerken en berichtenapps, met hun linkvoorbeelden: Facebook, X, LinkedIn, Pinterest, Reddit, WhatsApp, Telegram, Slack, Discord;
• feedlezers: Feedly, Inoreader, NewsBlur;
• vertaal- en cacheproxy's: Google Translate en de cache van Google.

Een domein toestaan of blokkeren

In het rapport voegen de knoppen Toestaan en Blokkeren een domein met één klik aan je lijsten toe. Je kunt ze ook met de hand invullen, één regel per lijn (maximaal 200 per lijst): voorbeeld.nl voor alleen dat domein, *.voorbeeld.nl voor het domein en al zijn subdomeinen, naam.* voor die naam met elke extensie. Een site die op beide lijsten staat, is toegestaan. Handig voor een partner, een oud domein of je eigen demosite.

Het rapport: wie toont je afbeeldingen

De kaart ‘Sites die je afbeeldingen tonen’ vat de laatste 7, 30 of 90 dagen samen: aantal sites, verzoeken, geschatte bandbreedte en geweigerde of vervangen verzoeken. Per domein:

• het aantal gebruikte afbeeldingen, de verzoeken en de geschatte bandbreedte, met de datum waarop de site het laatst is gezien;
• de meest opgevraagde afbeeldingen, als miniaturen;
• een detailpagina, afbeelding per afbeelding, met een link om de betreffende site te openen;
• de CSV-export van de gekozen periode, voor een spreadsheet.

Het rapport wordt elk uur bijgewerkt en telkens als je het tabblad opent. Het wordt standaard 90 dagen bewaard (7 tot 365 dagen, naar keuze). Er wordt geen enkel IP-adres opgeslagen, geen cookie en geen browser: één regel per dag, site en afbeelding, met het aantal verzoeken en de geleverde grootte.

Waarschuwingen en wekelijks rapport

Een site die deze week voor het eerst opduikt, wordt je per e-mail gemeld zodra hij een aantal verzoeken bereikt (standaard 20, 0 om nooit te waarschuwen), één keer per domein. Sites die al zijn toegestaan, geven geen waarschuwing. Het beveiligingsrapport van maandag vermeldt de actieve modus, de verzoeken van de week, de bandbreedte en de nieuwe sites. Wijzigingen van modus en lijsten verschijnen in het activiteitenlogboek.

Installatie per webserver

Server	Wat de plugin doet
Apache, LiteSpeed	Hij schrijft zijn blok met regels bovenaan het .htaccess-bestand (met een kopie van de vorige versie), controleert het en verwijdert het als er een probleem optreedt, in de modus Uit, als de licentie niet meer actief is of als de plugin wordt gedeactiveerd.
Nginx	Nginx leest geen .htaccess: de plugin toont het blok dat je in de serverconfiguratie kopieert, test en herlaadt.
IIS, Caddy	Niet ondersteund door deze functie.

De knop Regels testen vraagt een van je afbeeldingen op zoals een andere site dat zou doen, zonder iets aan het rapport toe te voegen. Wordt de afbeelding niet correct geleverd, dan worden de regels meteen verwijderd.

Alleen verzoeken om afbeeldingen die van andere sites komen, lopen via het eindpunt van de plugin: je eigen pagina's en verzoeken zonder Referer levert de server rechtstreeks. Dat eindpunt is licht: het laadt WordPress niet, leest en bewaart geen IP-adres en levert bij een fout de afbeelding gewoon. Een bezoeker verliest er nooit een afbeelding door.

Beperkingen

Veelgestelde vragen over hotlinking

Blijven mijn afbeeldingen zichtbaar in Google Afbeeldingen?

Ja. Zoekmachines en hun zoekfunctie voor afbeeldingen (Google, Bing, Yandex, DuckDuckGo, Baidu, Ecosia, Qwant) zijn standaard toegestaan, net als sociale netwerken en hun linkvoorbeelden. Je kunt een groep uitvinken als je dat wilt.

Kan de modus Beschermen de afbeeldingen van mijn site breken?

Je eigen pagina's lopen niet via het eindpunt: ze krijgen altijd de echte afbeeldingen. De regels worden getest en verwijderd als de test mislukt; bij een fout levert het eindpunt de originele afbeelding. De vervangende afbeelding wordt verstuurd met Cache-Control: private, no-store en Vary: Referer, zodat een gedeelde cache haar niet aan je bezoekers levert.

Met welke modus begin ik?

Met de modus Detecteren, een paar dagen lang: er verandert voor niemand iets, en het rapport laat zien wie je afbeeldingen gebruikt. Sta de legitieme sites toe (partners, oude domeinen) en schakel daarna over op de modus Beschermen, of blokkeer alleen de storende domeinen.

Mijn site draait achter Cloudflare: heeft de functie dan zin?

Gedeeltelijk. Afbeeldingen uit de cache van Cloudflare bereiken je server niet en worden niet gezien. Zet daarvoor Hotlink Protection aan onder Scrape Shield, in het dashboard van Cloudflare. Verzoeken die wel tot je server komen, worden nog steeds gedetecteerd en beschermd. Zie ook de ondersteuning voor Cloudflare.