Tus imágenes corporativas pueden estar generando tráfico… para otros dominios. Cuando una web externa inserta la URL directa de una foto alojada en tu servidor (<img src="https://tudominio.com/storage/blog/foto.jpg">), cada visita a esa página descarga el archivo desde tu hosting. Eso es hotlinking (enlace directo o «robo de ancho de banda»).
En sitios con muchas fotos de producto, casos de éxito o recursos descargables, el coste puede crecer sin que veas más visitas en tu analítica. En esta guía verás cómo identificar hotlinking, qué riesgos tiene además del consumo de datos y qué estrategias usar en una web de empresa sin bloquear usuarios legítimos ni Google.
Qué es el hotlinking y por qué sigue ocurriendo
El hotlinking no es un ataque sofisticado: suele ser un editor de contenidos, un foro o un competidor que copia la URL de tu imagen en lugar de descargarla y alojarla en su propio servidor. El navegador del visitante pide el archivo a tu dominio porque así está escrito el HTML.
Conviene distinguirlo de usar tu imagen con permiso (por ejemplo, un medio que enlaza a tu artículo y cita la fuente) o de un CDN que sí está bajo tu control. El problema aparece cuando el referer o el contexto muestran dominios que no te pertenecen y no hay acuerdo comercial.
Consecuencias más allá del ancho de banda
- Coste de hosting y CDN. Picos de tráfico saliente sin conversión en tu web.
- Marca fuera de contexto. Tu foto puede aparecer en sitios de dudosa reputación.
- Menos control sobre versiones. Si sustituyes la imagen en la misma URL, la web externa muestra el cambio sin avisarte.
- Señales confusas en logs. Dificulta interpretar qué páginas propias generan carga real.
No sustituye otros frentes de imagen como optimizar peso o revisar metadatos EXIF, pero sí cierra una puerta que muchas empresas ignoran.
Cómo detectar hotlinking en tu servidor
Empieza por los logs de acceso (Nginx, Apache o panel del hosting). Busca peticiones a rutas de imágenes (/storage/blog/, /img/) con Referer ajeno a tu dominio o vacío de forma masiva.
Complementa con:
- Analítica de archivos estáticos si tu CDN la ofrece (Cloudflare, Bunny, etc.).
- Alertas de tráfico cuando el egress supera la media sin subida de visitas en la web.
- Comprobaciones manuales con búsqueda inversa de imágenes en casos puntuales.
Medidas de protección recomendadas
El objetivo es permitir tu web, buscadores, previews sociales y partners acordados, y rechazar o redirigir el resto.
1. Reglas por Referer en el servidor web
En Nginx o Apache puedes devolver 403 o una imagen placeholder cuando el Referer no coincide con tu dominio ni está vacío en casos legítimos (algunos clientes no envían Referer). Lista siempre tus subdominios (www, cdn) y entornos de prueba controlados.
2. URLs firmadas o tokens temporales
Para áreas privadas o descargas sensibles, sirve la imagen solo si la URL incluye un token válido. Más trabajo de implementación, pero máximo control.
3. CDN con hotlink protection
Muchos CDN permiten listas blancas de dominios permitidos. Encaja bien si ya usas edge para Cache-Control en imágenes.
4. Marca de agua discreta en fotos estratégicas
No bloquea el hotlinking, pero atribuye la autoría cuando la imagen se reutiliza sin permiso.
SEO y experiencia: qué no debes bloquear
Googlebot y otros rastreadores legítimos deben seguir accediendo a tus imágenes indexables. Evita reglas demasiado agresivas que devuelvan error a user-agents de búsqueda o que impidan previsualizaciones en redes sociales (Open Graph). Prueba siempre con:
- Rich Results / inspección de URL en Search Console.
- Depurador de sharing (Facebook, LinkedIn) sobre una entrada con imagen destacada.
- Una petición curl con Referer de tu propio dominio y otra sin Referer según tu política.
Si migras URLs de imagen, usa redirecciones 301 coherentes y revisa que no queden enlaces rotos en contenido antiguo.
Plan de acción en cuatro pasos
- Audita una semana de logs en rutas de imágenes públicas.
- Prioriza archivos más pesados (hero, galerías, PDF embebidos).
- Implementa lista blanca de referers en servidor o CDN y monitoriza 403/404.
- Documenta excepciones (partners, newsletters) para no romper campañas.
¿Notas picos de tráfico sin más leads?
En aatsoft revisamos hosting, CDN e imágenes como un sistema: rendimiento, seguridad y SEO local. Si sospechas hotlinking o quieres endurecer tu infraestructura sin frenar conversiones, podemos auditarlo contigo.
Solicita una revisión de tu web y tu consumo de ancho de banda.
