2

Estoy intentando proteger el acceso directo a mis ficheros mp3, si el usuario malintencionado conoce la url tipo www.dominio.com/temas/tema25.mp3 puede llegar a reproducirlo y descargarlo a través de su navegador. Tras buscar información la manera más segura y correcta creo que se realiza con .htaccess

Mis pruebas se han realizado con esta configuración que funciona correctamente accediendo externamente al archivo pero también lo bloquea al usuario cuando intenta reproducirlo:

    <Files *.mp3>
    order deny,allow
    allow from player.php
    deny from all
    </Files>

¿Existe otra formula o método para impedir el acceso directo a mis archivos .mp3?

1 respuesta 1

2

No existe una forma completamente segura de hacerlo. Sin embargo, se puede usar el valor que envía el navegador en el encabezado HTTP Referer. De esta forma, sólo permitirías el acceso al MP3 si es a través de un link de tu página:

RewriteEngine on

RewriteCond %{HTTP_REFERER} !^https?://localhost(?:/|$) [NC]
RewriteCond %{HTTP_REFERER} !^https?://url\.detuweb\.com/ [NC]
RewriteRule \.mp3$ - [NC,F]
  • Claro que un usuario con ganas de quebrarlo, podría hacerlo simulando el Referer.
  • El flag [F] especifica que se le devuelva un 403 Forbidden.
  • Si se quiere un 404 en vez de un 403, hay que cambiarlo por [R=404].
  • O se puede redireccionar a otra página con RewriteRule \.mp3$ home.html [NC,R]


Otra forma, más sencilla (con menos control), con los mismos resultados y limitaciones, pero que funciona sin mod_rewrite es configurar una variable de entorno si coincide el Referer, y exigir que esté seteada para acceder a una carpeta:

SetEnvIfNoCase Referer ^https?://url\.detuweb\.com(?:/|$) local_referal
<Directory "/web/images">
    Require env local_referal
</Directory>

O, lo mismo pero por tipo de archivos:

SetEnvIfNoCase Referer ^https?://url\.detuweb\.com(?:/|$) local_referal
<FilesMatch "\.(gif|jpe?g)">
    Require env local_referal
</FilesMatch>

O se pueden anidar diferentes contenedores como <VirtualHost>, <Directory>, <FilesMatch>, u otros.
O, en vez del Require, también se puede usar:

Order Allow,Deny
Allow from env=local_referal


Algunos navegadores, en algunas circunstancias (especialmente mobile, y sobre todo en etiquetas multimedia como <video>), no envían el Referer y hay que forzarlo cambiando la política con la etiqueta meta referrer dentro del <head> de la página:

<meta name="referrer" content="unsafe-URL">


Si quisieras agregar una capa más de seguridad para controlar el acceso a los archivos, sería validando por usuario, por ejemplo manejando sesiones.

6
  • 1
    Gracias Mariano, voy a testearlo y comento los resultados por si a alguien más le puede servir... Commented el 27 ene. 2018 a las 19:36
  • Referente al manejo de sesiones, actualmente los mp3 solo se pueden reproducir si es usuario registrado. Commented el 27 ene. 2018 a las 19:38
  • A través de cualquier navegador funciona correctamente pero curiosamente en un móvil con Android no, una vez conectado como usuario, restringe el acceso al fichero .mp3 con lo cual el reproductor se muestra vacío. Commented el 27 ene. 2018 a las 20:12
  • @Jaime Probá agregando la etiqueta <meta name="referrer" content="always"> dentro del <head> de tu página.
    – Mariano
    Commented el 27 ene. 2018 a las 20:16
  • 1
    Mariano, es perfecto!!! no me imaginaba que podía solucionar la etiqueta html el problema en los navegadores móvil. Conclusión, después de realizar todas las pruebas, es imposible acceder a cualquier archivo mp3 conociendo su ubicación exacta tipo www.dominio.com/archivos/tema.mp3, o bien el server te indica que no tienes permiso o te redirecciona a su página de origen tipo www.dominio.com/archivos/player.php?id=julioiglesias-lanavedelolvido.mp3. Gracias sinceras por la ayuda!!! Commented el 28 ene. 2018 a las 9:40

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.