Как защитить изображения от хотлинкинга?

Хотлинкинг — или встроенная ссылка — происходит когда сторонний сайт отображает ваши изображения, напрямую ссылаясь на их URL с вашего сервера. Результат: их сайт потребляет вашу пропускную способность, исчерпывает квоту передачи данных и нагружает ваш сервер, не принося вам никакой пользы. В 2026 году хотлинкинг остаётся одним из наиболее распространённых злоупотреблений в интернете. Вот все методы эффективной защиты.

Понимание хотлинкинга и его последствий

Когда сайт встраивает изображение через тег <img src="https://vashomain.com/photo.jpg"> на своих страницах, именно ваш сервер отвечает на каждую загрузку их страницы. На практике это означает:

• Ваша пропускная способность расходуется на обслуживание стороннего сайта
• Ваша ежемесячная квота передачи данных исчерпывается быстрее
• Ваш сервер несёт дополнительную нагрузку при каждом посещении сайта-нарушителя
• Вы оплачиваете хостинг изображений, которые обогащают контент других сайтов

В крайних случаях сайт с высокой посещаемостью, хотлинкующий ваши изображения, может вызвать перегрузку сервера или превышение квоты, которое сделает ваш собственный сайт недоступным.

Метод 1: блокировка хотлинкинга через .htaccess (Apache)

Это наиболее классический и эффективный метод на серверах Apache. Файл .htaccess позволяет проверять HTTP-заголовок Referer каждого запроса — если запрос исходит не с вашего домена, он блокируется или перенаправляется.

Добавьте эти строки в файл .htaccess в корне вашего сайта:

RewriteEngine On
RewriteCond %{HTTP_REFERER} !^$
RewriteCond %{HTTP_REFERER} !^https?://(www.)?vashomain.com [NC]
RewriteRule .(jpg|jpeg|png|gif|webp|svg|avif)$ - [F,L]

Это правило блокирует любой запрос изображения, чей Referer не является вашим доменом. Вы можете заменить [F,L] (ошибка 403) перенаправлением на предупреждающее изображение:

RewriteRule .(jpg|jpeg|png|gif|webp|svg|avif)$ https://vashomain.com/no-hotlink.png [R,L]

Полезно знать: условие RewriteCond %{HTTP_REFERER} !^$ разрешает запросы без Referer (прямой доступ, закладки, инструменты разработчика). Если вы хотите заблокировать и их, удалите эту строку — но имейте в виду, что это может помешать отображению ваших изображений в некоторых легитимных контекстах, таких как HTML-письма или RSS-агрегаторы.

Метод 2: блокировка хотлинкинга через Nginx

На сервере Nginx защита настраивается в блоке server или location вашего конфигурационного файла:

location ~* .(jpg|jpeg|png|gif|webp|svg|avif)$ {
  valid_referers none blocked vashomain.com *.vashomain.com;
  if ($invalid_referer) {
    return 403;
  }
}

Директива valid_referers none blocked разрешает прямой доступ (none) и запросы без Referer (blocked). Встраивать ваши изображения могут только перечисленные домены.

Метод 3: использование политики Referrer-Policy

HTTP-директива Referrer-Policy контролирует, какая информация Referer отправляется с запросами с вашего сайта. Задав ограничительную политику, вы сокращаете информацию, доступную сторонним сайтам — но этот метод активно не защищает ваши изображения, а лишь ограничивает распространение URL вашего сайта.

Для базовой защиты добавьте в .htaccess:

Header set Referrer-Policy "same-origin"

Метод 4: защита через CDN

Если вы размещаете изображения через CDN (Cloudflare, AWS CloudFront, Fastly…), защита от хотлинкинга, как правило, доступна нативно в панели администратора:

• Cloudflare: активируйте правило "Hotlink Protection" на вкладке Scrape Shield вашей панели. Оно автоматически блокирует запросы изображений с неавторизованных доменов
• AWS CloudFront: используйте функцию Lambda@Edge для проверки заголовка Referer и блокировки неавторизованных запросов
• Bunny CDN: защита от хотлинкинга доступна непосредственно в настройках зоны хранения

Преимущество CDN двойное: защита обрабатывается на уровне сети доставки контента, ещё до достижения вашего исходного сервера, и применяется ко всем вашим ресурсам без изменения конфигурации сервера.

Метод 5: периодическое переименование и перемещение изображений

Менее технический, но дополняющий подход — периодическое изменение URL ваших изображений. Любая внешняя прямая ссылка немедленно становится недействительной. Этот подход можно автоматизировать с помощью скрипта переименования или управления ресурсами с хешем содержимого (как это нативно делают Webpack или Vite для файлов CSS и JS).

Метод 6: использование временных токенов доступа

Для чувствительных или высоконагруженных изображений генерация подписанных URL с истечением срока действия является наиболее надёжной защитой. Принцип: каждый URL изображения содержит криптографический токен, действительный в течение ограниченного времени (1ч, 24ч…). По истечении этого срока URL больше не действителен.

• AWS S3: генерация Presigned URLs через AWS SDK
• Cloudflare R2: подписанные URL с настраиваемым сроком действия
• Bunny CDN: подпись URL с секретным ключом и временной меткой

Полезно знать: ни одна защита от хотлинкинга не является абсолютно надёжной. Настойчивый сайт всегда может скачать ваши изображения и разместить их на собственных серверах — в этом случае речь идёт об авторских правах, а не о хотлинкинге. Защита через .htaccess или CDN охватывает подавляющее большинство злоупотреблений и вполне достаточна для ежедневной защиты вашей пропускной способности.