No existe una forma completamente segura de hacerlo. Sin embargo, se puede usar el valor que envía el navegador en el encabezado HTTP Referer. De esta forma, sólo permitirías el acceso al MP3 si es a través de un link de tu página:
RewriteEngine on
RewriteCond %{HTTP_REFERER} !^https?://localhost(?:/|$) [NC]
RewriteCond %{HTTP_REFERER} !^https?://url\.detuweb\.com/ [NC]
RewriteRule \.mp3$ - [NC,F]
- Claro que un usuario con ganas de quebrarlo, podría hacerlo simulando el Referer.
- El flag
[F]
especifica que se le devuelva un 403 Forbidden
.
- Si se quiere un 404 en vez de un 403, hay que cambiarlo por
[R=404]
.
- O se puede redireccionar a otra página con
RewriteRule \.mp3$ home.html [NC,R]
Otra forma, más sencilla (con menos control), con los mismos
resultados y limitaciones, pero que funciona sin mod_rewrite
es
configurar una variable de entorno si coincide el Referer, y exigir
que esté seteada para acceder a una carpeta:
SetEnvIfNoCase Referer ^https?://url\.detuweb\.com(?:/|$) local_referal
<Directory "/web/images">
Require env local_referal
</Directory>
O, lo mismo pero por tipo de archivos:
SetEnvIfNoCase Referer ^https?://url\.detuweb\.com(?:/|$) local_referal
<FilesMatch "\.(gif|jpe?g)">
Require env local_referal
</FilesMatch>
O se pueden anidar diferentes contenedores como <VirtualHost>
,
<Directory>
, <FilesMatch>
, u otros.
O, en vez del Require
, también se puede usar:
Order Allow,Deny
Allow from env=local_referal
Algunos navegadores, en algunas circunstancias (especialmente mobile, y sobre todo en etiquetas multimedia como <video>
), no envían el Referer y hay que forzarlo cambiando la política con la etiqueta meta referrer dentro del <head>
de la página:
<meta name="referrer" content="unsafe-URL">
Si quisieras agregar una capa más de seguridad para controlar el acceso a los archivos, sería validando por usuario, por ejemplo manejando sesiones.