Configurar hotlink protection no WordPress é bloquear que sites de terceiros carreguem as suas imagens direto do seu servidor, fazendo você pagar a banda enquanto eles exibem o seu conteúdo. Com o All-in-One Security, você ativa a regra que só permite as imagens no seu próprio domínio. O resultado é um site que economiza banda e protege o seu conteúdo, sem servir de hospedagem gratuita para quem copia as suas imagens. Este guia faz parte do hub de All-in-One Security da FULL e mostra o passo a passo real, da ativação da proteção ao teste de um domínio externo.

O que é hotlinking e por que ele custa caro

Hotlinking é quando outro site insere as suas imagens usando o endereço direto do seu servidor, em vez de hospedar a própria cópia, então cada visita ao site dele consome a banda do seu. Você paga a transferência, e o conteúdo aparece em uma página que não é sua, muitas vezes sem crédito.

Na prática, um site copia o link da sua imagem e a exibe; quando alguém abre a página dele, o seu servidor entrega o arquivo. Com o All-in-One Security, você ativa uma regra que só serve as imagens para o seu próprio domínio. Nos atendimentos da FULL sobre segurança e desempenho no WordPress, o tropeço campeão é ativar a proteção sem liberar os buscadores, o que faz as imagens sumirem do Google Imagens e dos resultados que traziam tráfego.

Legenda: a proteção contra hotlinking só serve as imagens para o seu próprio domínio.

Quando vale ativar a proteção contra hotlinking

Vale ativar a proteção contra hotlinking quando as suas imagens são pesadas ou exclusivas, quando você nota picos de banda sem aumento de visitas ou quando outros sites usam o seu conteúdo sem permissão, e vale deixar desligada quando você quer que as imagens sejam compartilhadas livremente. A proteção rende quando a banda das imagens é um custo real.

Use este teste antes de ativar. Diga SIM à proteção se o seu site tem fotos próprias, portfólio ou produtos com imagens caras de produzir, e você não quer servir de hospedagem para terceiros. Diga NÃO se você pública imagens justamente para serem reaproveitadas e divulgadas. O encaixe ideal é o site com conteúdo visual exclusivo e custo de banda. Para entender o impacto no desempenho geral, vale acompanhar o consumo de banda do servidor antes e depois de ativar a regra.

Pré-requisitos antes de ativar a proteção

Antes de ativar a proteção você precisa de três peças no lugar, o All-in-One Security ativo, a lista das origens que devem continuar acessando as imagens, como o Google e o seu CDN, e acesso para testar de um domínio externo, e a falta de qualquer uma leva a bloquear quem não devia. Sem liberar os buscadores, você esconde as imagens da busca.

Checklist de prontidão antes de começar:

• All-in-One Security instalado e ativo no site.
• A lista de origens legítimas a liberar, como buscadores e CDN.
• A confirmação de que o site usa Apache ou um servidor compatível.
• Um backup do arquivo de configuração do servidor antes de mexer.
• A forma de testar o carregamento de um domínio externo.
• A confirmação de que as suas próprias páginas exibem as imagens.
• Acesso de administrador ao painel de segurança.

Pense na proteção como a portaria de um estacionamento privativo: as suas imagens são as vagas, e o hotlinking é o carro de fora que ocupa a vaga sem pagar. A regra é o porteiro que só deixa entrar quem é do prédio. Mas se o porteiro barrar o entregador e o visitante autorizado, como o Google, a portaria atrapalha mais do que protege, então a lista de liberados precisa estar certa.

Como configurar a proteção contra hotlinking em 5 passos

Configurar a proteção segue cinco passos, da ativação da regra ao teste externo, e respeitar a ordem evita o erro mais comum: bloquear também os buscadores e o seu CDN junto com os sites copiadores. Cada passo protege a banda sem quebrar o legítimo. Confirme antes que o All-in-One Security está ativo e o servidor é compatível, porque a proteção depende dos dois.

Passo 1: Confirme a compatibilidade do servidor

Antes de ativar a regra, confirme que o seu site roda em um servidor compatível com a proteção, em geral Apache com suporte a regras de reescrita, porque a hotlink protection depende dessa capacidade do servidor. Faça um backup do arquivo de configuração antes de qualquer mudança, conforme a referência dos plugins do WordPress. Verifique com a sua hospedagem se o servidor aceita esse tipo de regra. Esse passo evita ativar algo que o servidor não suporta e quebrar o site sem necessidade. Reserve um tempo para confirmar a infraestrutura, porque uma regra de hotlink em um servidor incompatível pode não funcionar ou causar erro nas requisições de imagem.

Passo 2: Ative a proteção no all-in-one security

No painel do All-in-One Security, abra a área de firewall e ative a opção de prevenção de hotlinking, porque é ela que insere a regra que só serve as imagens para o seu próprio domínio. A ativação aplica a proteção sem você editar o arquivo de configuração na mão. Confirme que a opção foi ativada e a regra entrou em vigor. Esse passo liga a portaria: a partir dele, requisições de imagem vindas de outros sites passam a ser barradas. Faça a ativação com o backup já pronto, porque é uma mudança que afeta como o servidor entrega os arquivos, e ter como voltar dá segurança caso algo legítimo seja bloqueado.

Passo 3: Libere as origens legítimas

Garanta que os buscadores e o seu próprio CDN continuem acessando as imagens, liberando essas origens na regra, porque bloquear o Google esconde as suas fotos da busca e bloquear o CDN quebra a entrega das imagens no próprio site. Esse é o passo que mais gente esquece, e o que causa o maior estrago. Inclua na lista de exceção os bots de busca e o domínio do seu CDN, se você usar um. Confirme que as origens certas estão liberadas. Sem essa liberação, a proteção atrapalha o SEO e o desempenho, então trate a lista de exceções com o mesmo cuidado da regra principal, porque ela define quem não deve ser barrado.

Passo 4: Verifique se o seu site exibe as imagens

Abra várias páginas do seu próprio site e confirme que todas as imagens carregam normalmente, porque a proteção mal configurada pode bloquear até as requisições internas e deixar o site sem imagens. Navegue por páginas com galeria, produtos e posts, conferindo cada uma. Verifique também no celular, já que o carregamento pode diferir. Se a regra ou outro recurso do plugin estiver bloqueando algo legítimo no site, veja como corrigir o 404 Lockout que bloqueia visitantes no All-in-One Security. Esse passo garante que a proteção não cobrou um preço alto demais, quebrando a exibição das suas próprias imagens.

Passo 5: Teste de um domínio externo

Tente carregar uma das suas imagens a partir de outro domínio, usando uma página de teste fora do seu site, e confirme que ela não aparece, porque é esse teste que prova que a proteção bloqueia o hotlinking de verdade. Use uma ferramenta de teste de hotlink ou uma página simples em outro domínio. Compare com o carregamento no seu próprio site, que deve continuar normal. Se a imagem ainda carrega de fora, revise a regra e a compatibilidade do servidor. Esse teste duplo, dentro funcionando e fora bloqueado, é a prova final de que a proteção faz exatamente o que deveria, sem efeitos colaterais.

Legenda: cada passo protege a banda sem quebrar o legítimo, da ativação ao teste externo.

Erros comuns ao configurar a proteção contra hotlinking

Os três erros mais comuns ao configurar a proteção são bloquear os buscadores, esquecer o CDN e não testar de fora. O primeiro é o mais grave: ativar a regra sem liberar o Google esconde as suas imagens da busca, o que derruba o tráfego que vinha do Google Imagens e dos resultados ricos com foto.

O segundo erro é bloquear o próprio CDN, fazendo as imagens sumirem do seu site, já que elas são servidas por um domínio diferente do principal. A correção é incluir o CDN na lista de exceções. O terceiro caso é ativar a proteção e nunca testar de um domínio externo, ficando sem saber se ela realmente bloqueia o hotlinking. Quando uma regra do plugin acaba bloqueando um acesso legítimo, vale ver como corrigir o 404 Lockout que bloqueia visitantes.

Como manter a proteção em produção

Manter a proteção em produção exige cuidar de duas frentes, a atualização da lista de origens liberadas e a verificação periódica da entrega das imagens, porque um CDN novo ou uma mudança de servidor pode quebrar a regra sem aviso. O site muda de infraestrutura ao longo do tempo, então a proteção precisa acompanhar essas mudanças.

Sempre que adotar um CDN ou trocar de servidor, revise a regra de hotlinking e a lista de exceções, porque a configuração antiga pode não valer mais. Verifique de tempos em tempos se as imagens carregam no site e seguem bloqueadas de fora. Para padronizar a proteção e a segurança em vários sites sem licença avulsa, o guia de segurança no WordPress mostra a rotina.

Como a FULL faz isso em escala

A FULL padroniza a proteção contra hotlinking com All-in-One Security porque acompanha mais de 150 mil sites WordPress, e sites com conteúdo visual que sangram banda para terceiros aparecem o tempo todo, onde configurar a regra em cada projeto na mão vira gargalo. Em vez de licença avulsa por instalação, a ferramenta entra no bundle e o padrão de proteção fica replicável de um site para outro.

No plano PRO da FULL, por R$849, o All-in-One Security já vem no pacote para até dez sites, o que dá R$85 por site em vez de pagar cada licença separada. Para quem cuida de vários sites com imagens próprias, a gente vê isso trocar um custo recorrente espalhado por um padrão único: a mesma regra de hotlinking, com as exceções de busca e CDN, é reaproveitada de um projeto para outro, sem configurar do zero a cada site. É a economia que só aparece quando o stack é o mesmo em toda a base.

Checklist final da proteção contra hotlinking

O checklist final da proteção contra hotlinking confirma, em uma passada, que a banda está protegida sem quebrar o site ou o SEO. Rode esta lista depois do passo 5 e a cada mudança de servidor ou CDN, porque é nessas mudanças que a regra costuma deixar de funcionar.

Antes de declarar pronto, confirme:

• O servidor é compatível com a regra de hotlinking.
• A proteção está ativada no All-in-One Security.
• Os buscadores estão liberados, para não sumir da busca.
• O seu CDN está na lista de exceções, se você usar um.
• Todas as imagens carregam normalmente no seu próprio site.
• O teste de um domínio externo confirma o bloqueio da imagem.
• As imagens funcionam bem no celular, não só no desktop.

Se qualquer item falhar, principalmente a liberação dos buscadores, volte ao passo correspondente antes de confiar na proteção.

Perguntas frequentes sobre hotlink protection no WordPress

Próximos passos para proteger a sua banda e o seu conteúdo

Configurar hotlink protection no WordPress é, no fundo, impedir que terceiros usem o seu servidor de graça: confirme a compatibilidade, ative a regra no All-in-One Security, libere os buscadores e o CDN e, acima de tudo, teste de um domínio externo. Bloquear o Google junto com os copiadores é o que esconde as suas imagens da busca, então cuide das exceções. Para padronizar o All-in-One Security em vários sites sem licença avulsa, conheça os planos da FULL, e para continuar aprendendo, o FULL Academy reúne os tutoriais de WordPress em um só lugar.