CDN:リファラーホワイトリストまたはブラックリストを設定してホットリンク保護を有効にする

ほとんどの場合、HTTPまたはHTTPS文字列はリクエストのRefererヘッダーに含まれます。

ただし、ブラウザがHTTPSを使用しないWebサイトからHTTPSを使用するWebサイトにリクエストをナビゲートする場合、ブラウザはRefererヘッダーにドメイン名のみを表示することがあります。 これは、Referrer-Policyなどのセキュリティポリシーに基づいて機密ユーザーデータを保護するためです。

さらに、一部のブラウザまたはプロキシサーバーでは、プライベートブラウジングモードでのアクセスや匿名プロキシの使用など、特定のシナリオでリファラー文字列が自動的に除外される場合があります。

したがって、実際には、ホットリンク保護を設定するときにHTTPまたはHTTPSがリファラーヘッダーに含まれないシナリオに注意してください。 RefererヘッダーにHTTPまたはHTTPSが含まれていないリクエストを許可する場合は、スキームを無視する.

ほとんどの場合、リクエスト内のRefererヘッダーには、httpやhttpsなどのプロトコル、ホスト名、場合によってはパスとクエリ文字列を含む完全なURIが含まれます。 リクエストのRefererヘッダーは、次の理由により空になることがあります。

• 直接アクセス: ユーザーがブラウザーのアドレスバーにURLを入力したり、ブックマークを使用したり、新しい空白のブラウザータブを開いたりすると、参照ページが存在しないため、Refererヘッダーは空になります。

• ユーザープライバシー設定: ユーザーはプライベートブラウジングモードを設定するか、プライバシー重視の拡張機能を使用して、プライバシーの懸念からリファラーヘッダーを削除します。

• セキュリティプロトコル: リクエストがHTTPSページからHTTPページにリダイレクトされた場合、ブラウザは機密情報の漏洩を防ぐためにRefererヘッダーを表示しません。

• クライアントポリシー: セキュリティ上、一部のWebサイトまたはアプリケーションでは、<meta> タグまたはReferrer-policyなどのHTTPヘッダーを指定して、ブラウザによるRefererヘッダーの送信を制限できます。

• クロスオリジンリクエスト: ブラウザのセキュリティポリシーに基づいて、特定のクロスオリジンリクエストにリファラーヘッダーが含まれていない場合があります。

対処方法は、シナリオやセキュリティ要件によって異なります。

• デフォルトポリシー: サービスがRefererヘッダーに依存していない場合、空のRefererヘッダーを持つリクエストを許可できます。

• アクセスを許可: 特定のURLまたはソースについては、ユーザーがブラウザのアドレスバーからリソース URL に直接アクセスできるようにします。 を選択して、これらのURLまたはソースからのリクエストのみを許可できます。 このように、POPは、Refererヘッダーが空であるかどうかに関係なく、ユーザーがリソースにアクセスできるようにします。