Поддерживается не только классическая проверка реферера, толку от неё уже немного, т.к. через тэг <meta> можно легко запретить передачу рефа. Есть такие варианты защиты контента от нежелательного скачивания :

• подпись ссылки (параметр /key=..,)
• время жизни ссылки ( параметр ,end=12345678/ )
• список разрешённых реферов, либо список запрещённых реферов (параметр /referer=LIST/)
• привязывание ссылок к IP адресу или диапазону IP адресов ( параметр ,ip=1.2.3.4/ )
• лимитирование количества скачиваний с разных IP ( параметр ,limit=3/ )
• проверка куки ( параметр /sec=cookie_name/ , имеет смысл только при включенной защите через подпись )
• можно отключить защиту

Один из лучших вариантов защиты от нежелательного скачивания - привязать ссылку к IP браузера и указать список разрешённых рефереров. Но около 10-15% заходов используют динамические IP (на сайт будет запрос с одного IP, а в cdn - с другого). Для того чтобы спасти часть этого трафа, антихотлинк проверяет дополнительно реф - если виден непустой валидный реф, то запрос пропускается, даже если IP не подходит под тот диапазон что требуется в урле. Можно добавить также проверку cookie - если её значение совпадает со значением ключа, то запрос валидный, даже если нет привязки по IP или нет рефа (если реф есть, но не совпадает, то запрос будет отклонен). Если привязка по IP не используется, то отсутствие правильной cookie не будет отклонять запрос только если есть валидный реф. Но для использования cookie нужно:

• - делегировать ваш поддомен на наши НС-ы, чтобы мы могли использовать их в редиректах на стримы;
• - предоставить сертификат на *.cdn.example.com , чтобы работал редирект на стриминг сервера вида https://ip123456.cdn.example.com/.. (иначе нельзя будет проверить куки).

Также не следует забывать, что боты могут эмулировать действия пользователя на сайте и получать валидные ссылки, которые пройдут потом проверку защиты на цдн. Поэтому следует также уделить внимание идентификации ботов на стороне сайта , а не только стороне цдн. Например, один из элементарных способов, это проверка аксесс лога веб-сервер на количество запросов с одного айпи.

Есть возможность указывать “белый список” адресов , для которых не будет проверяться подпись урла( настройка keycheck_whitelist у клиента). Делается через поддержку цдна.

Подпись с временем жизни ссылки

http://video.ahcdn.com/key=LePgDoTB7PDqCBQsRxa92w,end=1987654321/output.mp4

Привязка ссылки к IP

http://video.ahcdn.com/key=yP5e78-rTfBrgPLhuDzCBg,end=1987654321,ip=1.2.3.4/output.mp4

Привязка ссылки к IP и куки

http://video.ahcdn.com/key=GnElxcWZ+dx27qMwDGJBDQ,end=1987654321,ip=1.2.3.4/sec=cookie_name/output.mp4

Лимитирование количества запросов с разных IP

http://video.ahcdn.com/key=UsijXw8tJK60yTBLu6wsyA,end=1987654321,limit=3/output.mp4