mitch

Что есть хотлинк:
пример:
у нас есть сайт с картинками (сидж\галера) my.com
и вот какой падонок делает сайт padonok.com
вешает там свой html, а в нем ссылки на мои картинки
img src="my.com/1.jpg"
что происходит когда серверы лазят по ЕГО сайту:
они смотрят его html, его рекламу, а картинки тянутся с
my.com, и его хозяин жестко попадает на траф ничего не получяя взамен. (естественно что хотлинкер не делает сайт ручками, на это у него скриты есть чтоьбы тырить урлы пиксов с сайта жертвы, и потом менять линки на спонсов, итд).
Каковы есть методы защиты:
1. реф-защита (бесплатно через переменные апачи или mod_rewrite) (де-факто стандарт) при запросе .jpg смотрим с каким рефом пришел запрос, и если ref не равен my.com или www.my.com - то вместо картинки отдавать 403.
и все было бы хорошо, если бы все придерживались RFC и передавали реф... оказывается что 10% юзеров юзают таокй софт (браузеры\фаерволы\прокси\аоловские серваки) которые режут реф, либо заменяю его какой то херней (типа "blocked by Outpost" - видели наверно все в статсах).
Поэтому если применять класический антихотлинк по рефу - то мы теряем 10% серверов (причем существенная часть из них это продвинцтые юзеры которое поставили себе такой браузер, фаервол или еще какую-то херню).
А если антихотлинк отрубить - траф могут выжрать конкретно (я видео например полностью захотлинкованые сиджи, а галер так вообще не счесть).
2. есть http://antihotlinking.com/ - очч интересная тулза
(не моя) стоит 300$. принцип работы:
логит ip тех кто глядел ваш html на какой-то период и при запросе .jpg смотрит - если запросивший ip есть в базе - отдать.
логика хорошая, минус в том что реализовано через mod_rewrite, и в том что скрипт неоправданно дорогой.

большенство вебмастеров не в курсе данной проблеммы. советую обдумать.

__________________
Админим серваки

uncopyrightable

Большинству вебмастеров это не интересно, т.к. большинство адалтом не занимается
Идея номер раз: сайт динамический, при обращении к странице ставишь куку/заводишь сессию. Картинки показываешь скриптом, где сначала проверяешь открыта ли сессия/стоит ли кука, и если стоит, то редиректишь на картинку, если нет - нах.
Не катит, если твой сайт показывают во фрейме. Но, антифреймовых JScript'ов в сети море.
Полагаю, что нагрузки большие выдерживать должен, бо сессионная сисстема довольно широко применяется.
Если не катит стандартная система, делаешь по аналогии: при октрытии страницы создаёшь файл с названием равным IP посетителя, а картинку показываешь только если файл существует. Усложнение - в файл записываешь ещё инфу о браузере, которую сверяешь в картиночном скрипте. И делаешь garbage_collector, хошь на кроне, хошь в конце скрипта отдельным потоком, который удаляет все файлы, возраст которых больше N минут.
С тебя пиво за идею

__________________
Если вы хотите, чтобы Бог рассмеялся, расскажите ему о своих планах

sliderxxx

Имя файла картинки = time()_1.jpg
Ставишь обработчик, который дергает время из имени файла и сверяет с текущим. Если разница превышает заданный интервал, пошел нах, если нет, все ок. Против особо умных хотлинкеров имя файла можно закодировать.

mitch

про куки и сессии надо будет с програмерами своими посоветоваться подумать.
сделать то реально - но вот как сервак себя чуствовать будет
если вместо того чтобы просто отдавать картинку - кучу всего еще обрабатывать.. так и на 50Мбит (того что раньше было статикой) наверно дуал ксеон загнется нахрен.
кароче надо делать разные варианты, тестить потом.

__________________
Админим серваки

mitch

ээ - тут че реально большинство народа адалтом не занимается ?
неверю.
неужто на юмаксе одни SEшники тусят ?

__________________
Админим серваки

uncopyrightable

Про тут - не знаю. Я про вебмастеров вообще говорил. Кроме того, я не верю, что данную проблему никто не решал, кто этим реально занимается.
Кстати, sliderxxx дело говорит - генерировать уникальный URL каждому пользователю для каждой картинки и экспарить его время от времени. Если напишешь не скрипт, а прогу на Ц, то точно проблем особых с производительностью не будет. Кстати, забавный способ - измерять нагрузку на сервер по нагрузке на канал

__________________
Если вы хотите, чтобы Бог рассмеялся, расскажите ему о своих планах

sliderxxx

2 uncopyrightable: Дело тут даже не в уникальности урла, а во времени его действия. Если хотлинкер, скопирует урлы себе, то действовать они будут 10-15 мин., или сколько там дрочер раздумывает, чтобы кликнуть на тумбу. Я таким способом избавился от Expired Clicks у себя на фиде, да и боты, которые не сразу по ссылкам идут, отсасывают.

uncopyrightable

sliderxxx, я ж про это и писал. см. ключевое слово expired
А вот ботов мёртвыми ссылками кормить вредно, если сайты большие. Хорошо если только проблемы с полной индексацией возникнут - вне которых случаях вообще сайт целиком из индекса выкидывают и начинают его по новой индексить.

__________________
Если вы хотите, чтобы Бог рассмеялся, расскажите ему о своих планах

daditto

Самый простой вариант отдавать картинку если реферер пустой. Т.е. отдавать если реферер твой сайт или он пустой, если же не твой и не пустой - то forbidden.

На самом деле если хочется извращаться с истекаемыми по времени урлами - то можно взглянуть на http://www.lighttpd.net/documentation/secdownload.html бесплатно. Те кто юзает nginx - в последних билдах эта тоже реализуемо.

mitch

истекаемые по времени урлы не канают однозначно.
(тк в значительной степени это для галер надо, а там за такое забанят сразу на всех tgp)
с пустым рефом отдавать - да, так и делал всегда для video контента (тк медиплеер более чем в 50% случаев с пустым рефом приходит) но это не идеально, а щас походу и для пиксов надо так делать.
собственно пиксы были как пример, антихотлик для мувисов более критичен из за обьема трафика.
насчет того что этой проблеммой кто то занимался - вроде я перечислил все чем народ щас пользуется, хотел услышать что то новое концептуально.

__________________
Админим серваки