Protección anti-hotlinking en Plesk y PrestaShop | Evita robo de ancho de banda

¿Qué es el hotlinking y por qué deberías protegerte?

El hotlinking (también conocido como "enlace caliente" o "robo de ancho de banda") ocurre cuando otro sitio web inserta en sus páginas una imagen, video o archivo alojado en tu servidor, sin tu permiso. En lugar de descargar el archivo y alojarlo en su propio espacio, enlazan directamente a la URL de tu recurso.

Esto es un problema serio porque cada vez que alguien visita ese sitio externo, tu servidor se ve obligado a enviar el archivo, consumiendo tus recursos de ancho de banda y CPU. Si el sitio que te roba tiene mucho tráfico, tu factura de hosting puede dispararse o tu web puede volverse lenta para tus usuarios legítimos.

Además, el hotlinking puede afectar tu SEO de forma indirecta: si tu servidor tarda en responder por la sobrecarga, Google penaliza la velocidad de carga de tu sitio. También pierdes el control sobre el contexto en el que se muestran tus imágenes, lo que puede dañar tu marca.

En este artículo te explico paso a paso cómo activar la protección contra hotlinking en dos entornos muy comunes: el panel de control Plesk y la plataforma de comercio electrónico PrestaShop. No necesitas ser un experto técnico; con seguir estas instrucciones, tu sitio quedará protegido en pocos minutos.

Cómo funciona la protección contra hotlinking

La protección contra hotlinking se basa en verificar la cabecera HTTP "Referer" que envía el navegador del visitante. Cuando alguien carga una página, el navegador indica de qué sitio proviene esa petición. Si el "Referer" no coincide con tu dominio (o con dominios que tú autorices), el servidor bloquea la entrega del archivo y muestra un mensaje de error o una imagen alternativa.

En Plesk, esta protección se activa a nivel de servidor web (Apache o Nginx). En PrestaShop, se puede configurar mediante módulos o modificando el archivo .htaccess (si usas Apache). A continuación, te muestro ambos métodos.

Activar protección contra hotlinking en Plesk

Plesk es uno de los paneles de control más utilizados en hosting compartido y VPS. Ofrece una interfaz gráfica que simplifica la configuración del servidor. Sigue estos pasos:

Paso 1: Accede al panel de Plesk

Inicia sesión en tu cuenta de Plesk con tus credenciales de administrador o de propietario del dominio.

Paso 2: Localiza el dominio a proteger

En el panel principal, verás una lista de tus dominios. Haz clic en el dominio donde quieres activar la protección.

Paso 3: Ve a "Apache y nginx"

Dentro del panel del dominio, busca la sección "Apache y nginx" (o "Apache & nginx" si está en inglés). Este apartado te permite configurar las directivas del servidor web para ese dominio concreto.

Paso 4: Añade las reglas de hotlink protection

En la pestaña de configuración, verás un campo llamado "Directivas adicionales de nginx" (o "Additional nginx directives"). Aquí es donde debes pegar el siguiente bloque de código:

location ~* \.(gif|jpg|jpeg|png|webp|svg|ico|css|js|mp4|mp3|zip|pdf|txt)$ {
    valid_referers none blocked server_names *.tudominio.com tudominio.com;
    if ($invalid_referer) {
        return 403;
    }
}

Explicación del código:

location ~* \.(extensión)$: indica qué tipos de archivo proteger. Puedes añadir o quitar extensiones según necesites.
valid_referers: define quién tiene permiso. none permite que se carguen los archivos si no hay referer (por ejemplo, al escribir la URL directamente). blocked permite referers vacíos o con formato raro. server_names y tudominio.com son tus dominios autorizados.
if ($invalid_referer): si el visitante no cumple las condiciones, se devuelve un error 403 (Prohibido).

Importante: sustituye tudominio.com por tu dominio real. Si tienes subdominios o dominios adicionales que quieras autorizar, añádelos separados por espacios.

Paso 5: Guarda y verifica

Haz clic en "Guardar" o "Aplicar". Plesk reiniciará automáticamente el servicio web para aplicar los cambios. Para comprobar que funciona, puedes intentar acceder a una imagen de tu web desde otro dominio (por ejemplo, usando una herramienta de inspección de red del navegador). Deberías recibir un error 403.

[TIP] Si usas Nginx como único servidor web (sin Apache), la configuración es la misma. Si usas Apache, también puedes editar el archivo .htaccess desde el Administrador de archivos de Plesk, pero las directivas de nginx son más eficientes y recomendadas.

Activar protección contra hotlinking en PrestaShop

PrestaShop es una plataforma de ecommerce muy popular. La protección contra hotlinking se puede implementar de dos maneras: usando un módulo o editando manualmente el archivo .htaccess (si tu hosting usa Apache). Te explico ambas.

Método 1: Usar un módulo de seguridad

PrestaShop tiene un catálogo de módulos que facilitan esta tarea. Busca en el back-office (panel de administración) en Módulos > Módulos y servicios y escribe "hotlink" en el buscador. Algunas opciones populares son:

Hotlink Protection (gratuito)
Image Hotlink Protection
Secure Hotlink

Instala el módulo que prefieras, actívalo y configura los dominios permitidos. La mayoría te pide que indiques tu dominio principal y si deseas permitir subdominios. También puedes elegir qué extensiones proteger.

[INFO] Los módulos gratuitos suelen ser suficientes para la mayoría de tiendas. Si tu tienda tiene mucho tráfico o necesitas funciones avanzadas, considera una versión de pago.

Método 2: Editar el archivo .htaccess manualmente

Si prefieres no instalar módulos, puedes hacerlo tú mismo. Primero, asegúrate de que tu hosting usa Apache (la mayoría de los compartidos sí). Luego:

Accede a los archivos de tu PrestaShop mediante FTP o el Administrador de archivos de tu hosting.
Localiza el archivo .htaccess en la raíz de tu instalación de PrestaShop (normalmente en la misma carpeta donde está index.php).
Haz una copia de seguridad del archivo por si algo sale mal.
Abre el archivo con un editor de texto (como Notepad++ o el editor del propio hosting).

Añade el siguiente código al final del archivo:

RewriteEngine On
RewriteCond %{HTTP_REFERER} !^$
RewriteCond %{HTTP_REFERER} !^http(s)?://(www\.)?tudominio.com [NC]
RewriteRule \.(gif|jpg|jpeg|png|webp|svg|ico|css|js|mp4|mp3|zip|pdf|txt)$ - [F,NC]

Explicación:

RewriteCond %{HTTP_REFERER}: comprueba de dónde viene la petición.
!^$: permite peticiones sin referer (acceso directo).
!^http(s)?://(www\.)?tudominio.com: permite tu dominio (con o sin www).
RewriteRule ... [F,NC]: si no cumple las condiciones, devuelve un error 403.

Sustituye tudominio.com por tu dominio real. Guarda el archivo y súbelo de nuevo si lo editaste localmente.

[WARNING] Si tu PrestaShop usa Nginx en lugar de Apache (por ejemplo, en algunos VPS), el .htaccess no funcionará. En ese caso, deberás añadir las reglas en la configuración de Nginx, como en el ejemplo anterior de Plesk, o usar un módulo.

Paso adicional: Configurar una imagen de reemplazo

Una práctica común es mostrar una imagen de advertencia en lugar de bloquear el acceso directamente. Para ello, en lugar de devolver un error 403, puedes redirigir al hotlinker a una imagen tuya. En el .htaccess, cambia la última línea por:

RewriteRule \.(gif|jpg|jpeg|png|webp|svg|ico)$ http://www.tudominio.com/anti-hotlink.jpg [R,L,NC]

Esto redirigirá a una imagen llamada anti-hotlink.jpg que debes subir a la raíz de tu web. Así, el sitio que te roba mostrará un mensaje visual en lugar de un error feo.

Configuraciones adicionales para una protección completa

La protección contra hotlinking es solo una capa de seguridad. Para que tu seguridad web sea sólida, te recomiendo:

Usar una CDN (Content Delivery Network) como Cloudflare. Muchas CDN ofrecen protección contra hotlinking de forma gratuita y además mejoran la velocidad de carga, lo que beneficia tu SEO.
Comprimir y optimizar tus imágenes para que pesen menos. Así, incluso si alguien te roba, el consumo de recursos es menor.
Monitorizar tu ancho de banda en el panel de tu hosting (Plesk o cPanel) para detectar picos anómalos que puedan indicar hotlinking.
Mantener actualizado tanto Plesk como PrestaShop para evitar vulnerabilidades.

[TIP] Si tienes una tienda en PrestaShop y usas Syspanel (el antiguo HestiaCP) en tu servidor, recuerda que el acceso a su panel se realiza a través del puerto 2106. Aunque no es necesario para configurar el hotlinking, puede ser útil para gestionar otros aspectos de tu hosting.

Preguntas frecuentes (FAQ)

¿El hotlinking afecta a mi SEO?

Sí, de forma indirecta. Si tu servidor se sobrecarga por el robo de ancho de banda, tus tiempos de carga aumentan y Google puede penalizarte. Además, si tus imágenes aparecen en sitios de baja calidad, puede diluirse la autoridad de tu dominio.

¿Puedo permitir el hotlinking desde ciertos sitios específicos?

Sí. En las reglas de Nginx o .htaccess, solo tienes que añadir los dominios permitidos en la lista de valid_referers o en las condiciones RewriteCond. Por ejemplo, si quieres permitir que tus imágenes se compartan en Pinterest, añade *.pinterest.com.

¿Qué pasa con los usuarios que usan bloqueadores de referer?

Algunos navegadores o extensiones de privacidad eliminan la cabecera Referer. En mis ejemplos, he incluido none y !^$ para permitir peticiones sin referer, evitando que estos usuarios legítimos vean errores.

¿Protege también los archivos CSS y JavaScript?

Sí, si los incluyes en las extensiones de la regla. Sin embargo, ten cuidado: si un sitio externo enlaza a tu CSS o JS, podría romper su diseño, pero eso no te afecta a ti. Aun así, es recomendable protegerlos para evitar consumo de recursos.

¿Necesito conocimientos técnicos para hacer esto?

No, los pasos que te he dado son muy visuales y directos. Si sigues las instrucciones al pie de la letra, lo conseguirás. Si algo falla, siempre puedes deshacer los cambios restaurando el archivo de copia de seguridad o eliminando las directivas en Plesk.

¿Funciona en hosting compartido?

Sí, tanto Plesk como PrestaShop son compatibles con la mayoría de hosting compartidos. En Plesk, la opción de "Apache y nginx" está disponible en todos los planes. En PrestaShop, el .htaccess funciona en Apache (que es lo habitual en compartidos).

Conclusión

Proteger tu web contra el hotlinking es una tarea sencilla que te ahorrará ancho de banda, mejorará la velocidad de tu sitio y, en consecuencia, tu SEO. Tanto Plesk como PrestaShop ofrecen métodos accesibles para cualquier usuario, sin necesidad de ser un experto en servidores.

Recuerda que la seguridad web es un proceso continuo. Activa la protección hoy y revisa periódicamente tus estadísticas de ancho de banda para detectar cualquier comportamiento extraño. Con estas medidas, tu sitio estará más seguro y rápido, y tus recursos se destinarán únicamente a tus visitantes legítimos.

Si tienes alguna duda, no dudes en consultar la documentación oficial de Plesk o PrestaShop, o contactar con el soporte técnico de tu proveedor de hosting. ¡Proteger tu web nunca fue tan fácil!