Question

Un saludo a todos.

Se me ha encargado "intentar" proteger un video para que no pueda ser descargado desde el servidor. Aunque todos sabemos que, "si se puede ver, se puede descargar", el objetivo es que al menos sea lo más difícil posible para un usuario intermedio.

Entre mis ideas está usar un token de verificación para que no exista una url fija del video, algo como:

/video.php?token=xxxx

Siendo "xxxx" un token generado al momento de darle play, y que solo tendrá validez durante cierto tiempo antes de que expire. Pero entonces el problema que tengo es cómo puedo hacer que " /video.php?token=xxxx" sea una url que tenga un flujo de datos que sea aceptado por las etiquetas <video></video> o por los reproductores de terceros que se pueden encontrar por internet.

En otras palabras, que "/video.php?token=xxxx" sea aceptado por los reproductores de video y que sea equivalente a poner "archivo.mp4" como fuente de datos, por ejemplo.

¿Alguien conoce la forma correcta de abordar este problema? ¿o se les ocurre una forma mejor de poder proteger el video de ser descargado con facilidad de las muchas extensiones que existen para tal tarea?

Gracias de antemano.

Answer 1

Hola,

podrías hacer algo como:

  $name = "archivo.mp4";
  ob_end_clean();
  $path = "protected/".$name;
  if (!is_file($path) or connection_status()!=0) return(FALSE);
  header("Cache-Control: no-store, no-cache, must-revalidate");
  header("Cache-Control: post-check=0, pre-check=0", false);
  header("Pragma: no-cache");
  header("Expires: ".gmdate("D, d M Y H:i:s", mktime(date("H")+2, date("i"), date("s"), date("m"), date("d"), date("Y")))." GMT");
  header("Last-Modified: ".gmdate("D, d M Y H:i:s")." GMT");
  header("Content-Type: application/octet-stream");
  header("Content-Length: ".(string)(filesize($path)));
  header("Content-Transfer-Encoding: binary\n");
  if ($file = fopen($path, 'rb')) {
    while(!feof($file) and (connection_status()==0)) {
      print(fread($file, 1024*8));
      flush();
    }
    fclose($file);
  }
  return((connection_status()==0) and !connection_aborted());

Tal vez debas ajustar el tipo MIME a el tipo de vide correspondiente, pero si vas a usar un reproductor embebido, no haría falta.

Si el directorio protegido está más atrás de la ruta del directorio público del hosting, no será accesible invocándolo directamente desde el navegador, así que te podés ahorrar el parámetro identificador del archivo real.

Si no tenés ningún directorio usable por detrás del DOCUMENT_ROOT, podrías crar una regla htaccess para que no se pueda acceder: el script PHP sí accederá porque él usa el sistema de archivos directamente y no URLs que se interceptan por el servidor web.

A esto tenés que agregarle alguna restricción para que si el archivo PHP responda solo si es llamado desde el script que lo va a invocar. Eso se podría escribir:

// Verifica que el llamador sea únicamente $referer
$refererArray = explode('?', basename($_SERVER['HTTP_REFERER']));
$referer = $refererArray[0];
if($referer != 'tu_script_que_llama_al_video.php')
{ die("Llamada incorrecta (X)"); }

De esta forma cualquier llamada desde el navegador o desde otro archivo no devuelve el video. Podrías relajar más la restricción y permitir cualqueir llamada desde tu propio servidor usando otras variables de entorno.

Saludos!