Quando outro site exibe suas imagens sem copiá-las, cada exibição as baixa do seu servidor: é a sua banda que paga a página dele. A aba Hotlinking do WP Masquerade Pro mostra quais sites fazem isso, com quais imagens e com que volume, e permite que você os autorize, bloqueie ou proteja todas as suas imagens de uma vez.
O que é hotlinking?
Hotlinking (ou “link direto”) é inserir em uma página o endereço de uma imagem hospedada em outro site, em vez de copiar o arquivo. A imagem aparece no site dele, mas quem a entrega é o seu servidor, a cada visita. O navegador costuma indicar a página de origem no cabeçalho Referer: é assim que essas requisições podem ser reconhecidas.
- Outro site insere a sua imagemA página dele contém
<img src="https://seu-site.com.br/wp-content/uploads/foto.jpg">, sem copiar o arquivo. - O visitante dele abre a páginaO navegador pede a imagem ao seu servidor, com o cabeçalho
Referer: https://outro-site.example/. - Seu servidor envia a imagemA cada exibição: sua banda e seu servidor trabalham para a página dele.
- Com o WP Masquerade ProModo Detectar: o site é contado no relatório. Modo Proteger: ele recebe “Imagem protegida”, um pixel transparente ou um erro 403.
Por que isso importa
- A banda: uma foto exibida em uma página muito visitada de outro site é enviada pelo seu servidor a cada um dos visitantes dele. Se a sua hospedagem limita ou cobra o tráfego, quem paga é você.
- A carga do servidor: essas requisições se somam às dos seus próprios visitantes, sem trazer nada para você.
- O uso dos seus visuais: suas fotos, diagramas ou criações ilustram a página de outra pessoa, muitas vezes sem a sua autorização e sem link para você. O relatório mostra quem faz isso, para você decidir com conhecimento de causa.
Três modos Recurso Pro
| Modo | O que os outros sites recebem | O que é registrado |
|---|---|---|
| Desativado (padrão) | Suas imagens, como sempre. Nenhuma regra de servidor é instalada. | Nada. |
| Detectar | Suas imagens, como sempre. | O site, a imagem, o número de requisições e o tamanho enviado. |
| Proteger | À sua escolha: uma imagem “Imagem protegida” (no idioma do site), um pixel transparente (a imagem desaparece) ou um erro 403. | O mesmo, mais o número de requisições recusadas ou substituídas. |
São monitoradas as imagens da biblioteca de mídia (JPEG, PNG, GIF, WebP e AVIF) e, como opção, as imagens do tema e os arquivos SVG.
O que continua permitido
O seu próprio site (com e sem www) e as requisições sem Referer são sempre atendidos. Quatro grupos também são permitidos por padrão, para que suas imagens continuem visíveis onde trazem visitantes para você:
- buscadores e busca de imagens: Google (incluindo o Google Imagens), Bing, Yandex, DuckDuckGo, Baidu, Ecosia, Qwant;
- redes sociais e aplicativos de mensagens, com suas prévias de links: Facebook, X, LinkedIn, Pinterest, Reddit, WhatsApp, Telegram, Slack, Discord;
- leitores de feeds: Feedly, Inoreader, NewsBlur;
- proxies de tradução e de cache: Google Tradutor e o cache do Google.
Permitir ou bloquear um domínio
No relatório, os botões Permitir e Bloquear adicionam um domínio às suas listas com um clique. Você também pode preenchê-las à mão, uma regra por linha (no máximo 200 por lista): exemplo.com.br só para esse domínio, *.exemplo.com.br para o domínio e todos os subdomínios, nome.* para esse nome com qualquer extensão. Um site presente nas duas listas é permitido. Útil para um parceiro, um domínio antigo ou o seu próprio site de demonstração.
O relatório: quem exibe suas imagens
O cartão “Sites que exibem suas imagens” resume os últimos 7, 30 ou 90 dias: número de sites, requisições, largura de banda estimada e requisições recusadas ou substituídas. Para cada domínio:
- o número de imagens usadas, as requisições e a largura de banda estimada, com a data da última visita;
- as imagens mais solicitadas, em miniaturas;
- uma página de detalhes, imagem por imagem, com um link para abrir o site em questão;
- a exportação em CSV do período escolhido, para uma planilha.
O relatório é atualizado a cada hora e sempre que você abre a aba. Ele é mantido por 90 dias por padrão (de 7 a 365 dias, à sua escolha). Nenhum endereço IP é armazenado, nem cookie, nem navegador: uma linha por dia, site e imagem, com o número de requisições e o tamanho servido.
Alertas e relatório semanal
Um site visto pela primeira vez nesta semana é informado a você por e-mail assim que atinge um número de requisições (20 por padrão, 0 para nunca alertar), uma única vez por domínio. Sites já permitidos não geram alerta. O relatório de segurança de segunda-feira traz o modo ativo, as requisições da semana, a largura de banda e os novos sites. As mudanças de modo e de listas aparecem no registro de atividades.
Instalação conforme o seu servidor
| Servidor | O que o plugin faz |
|---|---|
| Apache, LiteSpeed | Ele grava seu bloco de regras no início do arquivo .htaccess (guardando uma cópia da versão anterior), verifica esse bloco e o remove se surgir um problema, no modo Desativado, quando a licença deixa de estar ativa ou quando o plugin é desativado. |
| Nginx | O Nginx não lê o .htaccess: o plugin mostra o bloco a copiar na configuração do servidor, a testar e depois recarregar. |
| IIS, Caddy | Não suportados por este recurso. |
O botão Testar as regras solicita uma das suas imagens como outro site faria, sem adicionar nada ao relatório. Se a imagem não for servida corretamente, as regras são removidas na hora.
Só as requisições de imagens vindas de outros sites passam pelo ponto de acesso do plugin: as suas próprias páginas e as requisições sem Referer são servidas diretamente pelo servidor. Esse ponto de acesso é leve: não carrega o WordPress, não lê nem armazena nenhum endereço IP e, se algo der errado, serve a imagem normalmente. Um visitante nunca perde uma imagem por causa dele.
Limitações
- As requisições sem Referer (endereço digitado diretamente, configurações de privacidade ou extensões do navegador, alguns aplicativos) são sempre atendidas e não podem ser detectadas.
- As imagens servidas por uma CDN ou pelo cache da Cloudflare não chegam ao seu servidor: aqui elas não são contadas nem protegidas. Na Cloudflare, ative o Hotlink Protection (Scrape Shield). Se as suas mídias são servidas a partir de outro endereço (CDN, plugin de offload de mídia), o recurso não é ativado e a aba explica o motivo.
- Uma cópia da sua imagem hospedada em outro site não é hotlinking: está fora do alcance deste recurso.
- A largura de banda é estimada a partir do tamanho dos arquivos servidos; os caches dos navegadores reduzem o valor real.
- Instalações multisite não são suportadas.
- Licença expirada: as regras são removidas automaticamente, todas as imagens são servidas normalmente e o relatório continua disponível.
Perguntas frequentes sobre hotlinking
Minhas imagens continuarão aparecendo no Google Imagens?
Sim. Os buscadores e suas buscas de imagens (Google, Bing, Yandex, DuckDuckGo, Baidu, Ecosia, Qwant) são permitidos por padrão, assim como as redes sociais e suas prévias de links. Você pode desmarcar um grupo se quiser.
O modo Proteger pode quebrar as imagens do meu site?
As suas próprias páginas não passam pelo ponto de acesso: elas sempre recebem as imagens reais. As regras são testadas e removidas se o teste falhar; se algo der errado, o ponto de acesso serve a imagem original. A imagem substituta é enviada com Cache-Control: private, no-store e Vary: Referer, para que um cache compartilhado não a sirva aos seus visitantes.
Por qual modo começar?
Pelo modo Detectar, durante alguns dias: nada muda para ninguém, e o relatório mostra quem usa suas imagens. Permita os sites legítimos (parceiros, domínios antigos) e depois passe para o modo Proteger ou bloqueie apenas os domínios incômodos.
Meu site está atrás da Cloudflare: o recurso serve para alguma coisa?
Em parte. As imagens servidas pelo cache da Cloudflare não chegam ao seu servidor e não são vistas. Para elas, ative o Hotlink Protection no Scrape Shield, no painel da Cloudflare. As requisições que chegam até o seu servidor continuam sendo detectadas e protegidas. Veja também o suporte à Cloudflare.
Comece de graça e mude para o Pro quando estiver pronto
A versão gratuita já oculta o WordPress, muda o endereço da página de login, bloqueia o XML-RPC e conta os robôs. O Pro blinda os logins, renomeia os endereços dos arquivos e monitora seus sites por você: vulnerabilidades conhecidas, integridade do núcleo, registro de atividades, hotlinking de imagens, alertas por e-mail e status das atualizações de todos os seus sites na sua área do cliente. A partir de 59 € por ano sem impostos, bem menos do que as ofertas de limpeza cujos preços levantamos. Comparar os custos.
