Hotlinking

Le hotlinking (ou liaison automatique^[1] ; aussi désigné en anglais par inline linking, direct linking^, leeching^, piggy-backing ou offsite image grabs) est le fait d’afficher sur un site web une ressource (le plus souvent une image, mais aussi une vidéo, un script ou un fichier audio) en la liant directement sur le serveur d’un tiers, sans copie de ce fichier sur le serveur Web du site qui l’affiche. Cette pratique est parfois qualifiée de « vol de bande passante » dans la littérature technique^[2].

Intérêts

Chaque page d'un site web peut afficher, via des liens hypertextes, plusieurs ressources (images, vidéos, scripts, feuilles de style, documents, etc.) qui peuvent être stockées :

• sur le même site web que la page affichée (ressource locale) ;
• sur un autre site web ou service tiers (ressource externe), notamment pour des raisons techniques :
  • réduction de latence et meilleure disponibilité via un réseau de diffusion de contenu (Content Delivery Network)^[3] ;
  • externalisation de fonctionnalités spécifiques (par exemple, diffusion en continu de vidéo)^[4].

Dans le premier cas (ressource locale), un seul site est utilisé et tous les frais techniques sont supportés par une même entité (le propriétaire du site).

Dans le second cas (ressource externe), plusieurs sites sont impliqués. Lorsque les coûts et droits d’usage sont assumés par une même entité, la pratique est prévue contractuellement (par exemple via un CDN). À l’inverse, en l’absence d’accord explicite, le hotlinking peut entraîner :

• une charge supplémentaire de bande passante et de calcul pour le serveur hébergeant la ressource^[5] ;
• des problématiques juridiques liées aux droits d’auteur et aux conditions de licence de la ressource utilisée (selon les juridictions et la jurisprudence applicable)^[6].

Pour éviter ces conséquences, des mécanismes de protection peuvent être mis en place.

Protection

La majorité des logiciels de serveurs web et des services en périphérie (CDN, WAF) permettent de se protéger contre le hotlinking. La méthode la plus répandue consiste à examiner l’en-tête HTTP Referer (sic), qui indique l’URL de la page à l’origine de la requête^[7]. En fonction du référent, le serveur peut autoriser, refuser ou rediriger la réponse.

Exemples de mise en œuvre

• Apache HTTP Server : utilisation de la réécriture d’URL et du contrôle d’accès (mod_rewrite) pour bloquer l’accès aux fichiers selon le référent, y compris via un fichier .htaccess^[8].
• Nginx : module ngx_http_referer_module et directive valid_referers pour n’autoriser que certaines origines ; la documentation souligne toutefois qu’il est facile d’usurper la valeur du Referer et que l’objectif est surtout de bloquer le flux « ordinaire » de navigateurs^[9].
• Services gérés / CDN : activation d’une protection anti-hotlinking côté proxy (par exemple chez Cloudflare) pour empêcher l’intégration d’images depuis des sites non autorisés^[5].
• URLs signées / contrôle d’accès : au lieu de (ou en complément du) contrôle du Referer, l’accès aux ressources peut être restreint par des URL temporaires signées ou des cookies signés (par exemple via Amazon CloudFront), limitant l’accès à une période, à une adresse IP ou à un public authentifié^[10].

Limites et considérations

• L’en-tête Referer peut être absent, tronqué ou modifié selon les navigateurs, les proxys et la politique de confidentialité du site d’origine (Referrer-Policy) ; un blocage strict sur cette base peut donc affecter des usages légitimes^[11].
• Le contrôle par Referer n’offre pas une protection « absolue » contre des clients malveillants, mais suffit souvent à bloquer l’« embed » non désiré réalisé par des navigateurs ordinaires^[9].

Considérations juridiques (aperçu)

La qualification juridique du hotlinking varie selon les pays et la jurisprudence. Aux États-Unis, la Cour d’appel du 9^e circuit a consacré le « server test », jugeant qu’intégrer (embed) un contenu hébergé chez un tiers n’emporte pas, à lui seul, « affichage » au sens du droit d’auteur si le site n’héberge ni ne sert le fichier protégé^[12]. D’autres décisions, notamment au tribunal fédéral de New York (SDNY), ont au contraire estimé que l’embedding pouvait constituer un « affichage » non autorisé, illustrant une divergence d’approche^[13]. Les contributeurs sont invités à se référer à des sources spécialisées pour l’état le plus récent du droit applicable selon les juridictions.

Notes

• Terminologie HTTP : l’en-tête s’écrit Referer (avec une faute d’orthographe historique) dans les spécifications ; le contrôle de sa transmission côté navigateur se fait via la directive Referrer-Policy^[14].