Beskytte digitale nedlastinger i WooCommerce

Selger du en e-bok, en PDF, musikk eller programvare via WooCommerce? Da vil du at bare betalende kunder skal kunne hente filen. WooCommerce ordner dette med en sikker nedlastingslenke, men det fungerer bare godt hvis nedlastingsmetoden er sikker og mappen med filer er lukket. Her leser du hvordan det fungerer, hva du stiller inn, og hvordan du sjekker at en direkte lenke ikke fungerer.

Slik fungerer en nedlasting i WooCommerce

Kryss av for Nedlastbar (Downloadable) på et produkt og last opp filen. WooCommerce legger den i mappen wp-content/uploads/woocommerce_uploads/. Som standard legger den til en tilfeldig tegnrekke bak filnavnet, slik at navnet er vanskelig å gjette. Kunden får aldri denne adressen, men en lenke til butikken din. Ved hvert klikk sjekker WooCommerce om nedlastingen hører til en betalt bestilling, og om grensen og utløpsdatoen ikke er nådd ennå. Først da får kunden filen.

Hvis det ikke sendes noe med posten, kryss også av for Virtuell (Virtual). Da beregner WooCommerce ingen fraktkostnader.

Velg en sikker nedlastingsmetode

Gå til WooCommerce > Innstillinger > Produkter > Nedlastbare produkter og se på nedlastingsmetoden (File download method):

Velg Tving nedlastinger, med mindre du vet sikkert at X-Sendfile fungerer. La også være å aktivere alternativet der WooCommerce som siste utvei faller tilbake på omdirigering.

Mappen woocommerce_uploads må være lukket

Med en sikker metode må mappen selv være lukket for vanlige besøkende. Ellers kan noen som kjenner filnavnet, for eksempel fra en lekket lenke, hente filen direkte. WooCommerce legger derfor to filer i mappen ved installasjonen:

• en tom index.html, slik at det ikke vises noen liste over filer;
• en .htaccess med regelen deny from all, som avviser alle direkte forespørsler.

En slik .htaccess-fil fungerer på webservere som leser den, som Apache og LiteSpeed. Våre servere kjører på LiteSpeed, så hos WebOké fungerer denne beskyttelsen uten ekstra innstillinger. På en server med nginx leser webserveren ikke .htaccess; der trengs en regel i serverkonfigurasjonen. Flytter du butikken din senere til en slik server, sjekk dette på nytt.

.htaccess-filen er skjult. Vil du se om den finnes, se Vise og redigere skjulte filer som .htaccess. Ikke slett den.

Sjekke at en direkte lenke ikke fungerer

1. Åpne filadressen slik WooCommerce viser den, for et nedlastbart produkt. Den begynner med /wp-content/uploads/woocommerce_uploads/.
2. Åpne denne adressen i et privat vindu, der du ikke er logget inn.
3. Bra er en feilmelding 403 Forbidden (eller 401 eller 404). Får du filen vist eller lastet ned, står mappen åpen.

Test alltid en ekte fil, ikke bare mappen. En tom side ved mappen kan være den tomme index.html-filen, mens filene selv likevel er åpne. På kommandolinjen kan det også gjøres: curl -I https://example.com/wp-content/uploads/woocommerce_uploads/bestand.pdf skal gi en 403. Hva en 403 betyr, leser du i Forbidden (403): Du har ikke tilgang til / på denne serveren.

Grenser og tilgang

• Nedlastingsgrense og utløpsdato stiller du inn per produkt eller variant. Tomt betyr ubegrenset. En streng grense begrenser deling, men gir klager hvis noen kjøper en ny datamaskin.
• Tilgang etter betaling er aktivert som standard: kunden kan laste ned så snart betalingen er vellykket.
• Godkjente nedlastingsmapper (Approved download directories): bare filer fra disse mappene eller fra disse adressene kan brukes som nedlasting. Hold listen kort.

Selger du digitalt innhold til forbrukere, sørg også for å avklare hvordan angreretten fungerer ved nedlastinger. WooCommerce gjør ikke dette automatisk. Denne artikkelen er ikke juridisk rådgivning; sjekk hos ACM eller spør en jurist.

Les mer

• Digital and downloadable product handling (WooCommerce, engelsk)
• Gratis WordPress-kurs, leksjon 7.4 Herde siden: rettigheter, headere og sikkerhetsplugins