web-dev-qa-db-fra.com

Comment refuser l'accès direct aux fichiers de polices utilisés en CSS?

J'ai un site Web qui affiche des textes avec des polices uniques protégées par le droit d'auteur. J'utilise un fichier CSS avec des éléments "font-face" (voir l'exemple ci-dessous) et je stocke les fichiers de police dans un dossier appelé "type". J'aimerais refuser l'accès direct à ces fichiers, afin que les visiteurs ne puissent pas les copier. J'ai essayé d'ajouter un fichier . Htaccess, mais il a cassé le code. (Je suppose que cela a bloqué les liens dans le CSS.)

@font-face {
  font-family: "Your typeface";
  src: url("type/filename.eot");
  src: local("☺"),
    url("type/filename.woff") format("woff"),
    url("type/filename.otf") format("opentype"),
    url("type/filename.svg#filename") format("svg");
  }
htaccesscssfonts
1
akopacsi

Eh bien, cela est déjà fait du mieux possible par défaut.

Lorsque vous essayez d’accéder aux polices d’un autre domaine, votre navigateur bloque la requête d’origine croisée (sauf si vous ajoutez explicitement un en-tête "Access-Control-Allow-Origin" dans votre fichier htaccess). Essayez à partir d'un serveur de développement et vous verrez ce que je veux dire, car vous obtiendrez des erreurs dans le journal de la console du navigateur. Il est donc impossible pour les visiteurs de référencer les polices de votre site dans leur CSS. Il s’agit d’une fonctionnalité de sécurité, plutôt que d’un problème de licence, mais qui a pour effet d’empêcher les personnes d’utiliser des polices sur votre site.

Cependant, rien n'empêche techniquement un autre site de télécharger les polices de votre site, puis de les télécharger sur leur serveur et de les utiliser à partir de leur propre domaine *. Cela est dû au fait que le navigateur doit pouvoir accéder aux polices (pour les afficher sur votre site) et, depuis qu'il a accès, il peut les télécharger.

Si vous arrêtez leur accès à tous, comme vous l'avez essayé, vous casserez votre site. Rappelez-vous que CSS est exécuté côté client, dans le navigateur et non côté serveur, le client doit donc avoir accès aux polices.

Vous ne pouvez donc rien faire ici à part vérifier que vous n'autorisez pas les demandes d'origine croisée pour votre police avec l'en-tête "Access-Control-Allow-Origin".

* Cela signifierait bien sûr qu'ils violent le droit d'auteur, mais c'est leur problème, pas le vôtre, ni un problème technique.

4
Barry Pollard

La réponse simple est ... vous ne pouvez pas ...

Les navigateurs téléchargent les fichiers de polices par défaut en visitant votre site car ils ont besoin de ces fichiers pour pouvoir restituer vos polices personnalisées. Les types de polices eot, woff, opentype et svg n'utilisent aucune protection DRM , et pour autant que je sache, aucune autre police ne le fait pour cette raison ... vous ne pouvez pas protégez vos polices.

Cependant, vous pouvez les rendre plus difficiles à utiliser ou leur faire savoir que vos polices sont protégées par le droit d'auteur. Plusieurs méthodes incluent:

  • Vérification du référent HTTP
  • Obfuscation
  • URI de données
  • Données de licence visibles
  • Segmentation et sous-ensemble

À la fin de la journée, si quelqu'un veut voler vos polices, il l'acceptera ou ne l'utilisera pas sur votre site Web.

2
Simon Hayter