Bloquear hotlinks de imágenes con .htaccess: guía práctica

📅 Publicado el 2 de octubre, 2026 · Por Equipo RedServicio

Hay tareas de mantenimiento web que uno va dejando para después. Bloquear hotlinks de imágenes suele ser una de ellas, hasta que llega el día en que el gráfico de ancho de banda se dispara sin explicación. Entonces aparece el hotlinking, o robo de ancho de banda: otros sitios enlazan directamente a tus imágenes en lugar de alojarlas en sus propios servidores, y tu hosting acaba pagando el tráfico ajeno. Aquí va una guía práctica: qué es esto, cómo detectarlo y, sobre todo, cómo cortarlo con unas pocas líneas en el archivo .htaccess.

¿Qué es el hotlinking y por qué te perjudica?

La mecánica es sencilla. Un sitio externo inserta una imagen tuya usando su URL completa, algo así: <img src=»https://tusitio.com/imagenes/foto.jpg»>. Cada visitante de esa página ajena descarga la imagen desde tu servidor. Tus recursos. Su contenido.

¿Y qué consecuencias tiene esto para tu web? Varias, y ninguna buena:

• Consumo de ancho de banda: pagas por un tráfico que no genera visitas ni beneficios. Si tu plan tiene límite de transferencia mensual, puede que te quedes sin él a mitad de mes.
• Rendimiento degradado: un servidor saturado atendiendo peticiones ajenas sirve peor tu propia web. Carga más lenta, SEO penalizado, usuarios impacientes que se van.
• Costes económicos: en planes con facturación por exceso de tráfico, el hotlinking acaba siendo una sorpresa desagradable en la factura. De esas que duelen.
• Uso indebido de tu contenido: terceros se aprovechan de tu trabajo sin permiso y, en el peor de los casos, tu imagen aparece en contextos que dañan tu marca.

Un detalle que conviene no pasar por alto: el problema crece con la popularidad del sitio que te «roba». Una imagen viral enlazada desde un foro de alto tráfico puede multiplicar tu consumo de recursos en cuestión de horas. Literalmente.

Cómo saber si otros sitios están haciendo hotlinking de tus imágenes

Antes de bloquear nada, mejor confirmar que de verdad sufres el problema. No hay que adivinarlo. Estos métodos funcionan:

1. Revisa los registros de acceso de tu servidor

Mira los logs de tu hosting (en cPanel tienes la sección «Visitantes» o «Últimos visitantes») y busca peticiones GET a tus archivos de imagen. Si aparecen referencias (referrer) de dominios que no reconoces —y que no sean buscadores ni redes sociales—, esa es la señal. Ahí está.

2. Usa Google Images

Busca imágenes concretas de tu sitio mediante búsqueda inversa (Google Lens o la opción «Buscar por imagen»). Cuando des con tu imagen en un sitio ajeno, clic derecho sobre ella y comprueba la URL. ¿Apunta a tu dominio? Hotlinking confirmado.

3. Monitoriza tu consumo de ancho de banda

Tráfico saliente que se dispara mientras tus visitas en Google Analytics se quedan quietas. Ese desajuste es el indicador clásico. Casi todos los paneles de hosting incluyen gráficos de uso de ancho de banda donde las anomalías se ven a simple vista.

Diagnóstico hecho. Ahora, la solución.

Cómo bloquear hotlinks de imágenes con .htaccess paso a paso

En servidores Apache (o sea, la gran mayoría del hosting compartido), lo más eficaz es el módulo mod_rewrite en tu archivo .htaccess. Vamos paso a paso:

Paso 1: Localiza o crea tu archivo .htaccess

Conéctate por FTP o mediante el gestor de archivos de tu panel y busca el archivo .htaccess en la raíz del sitio. Si usas WordPress, suele estar junto a las carpetas wp-admin y wp-content. Si no existe, créalo como archivo de texto plano. Y antes de tocar nada, descarga una copia de seguridad. Sin excepciones.

Paso 2: Añade las reglas de bloqueo

Añade esto al final del archivo:

RewriteEngine On
RewriteCond %{HTTP_REFERER} !^$
RewriteCond %{HTTP_REFERER} !^https?://(www\.)?tusitio\.com [NC]
RewriteCond %{HTTP_REFERER} !^https?://(www\.)?google\.com [NC]
RewriteRule \.(jpg|jpeg|png|gif|webp)$ – [F,NC,L]

Línea por línea, qué hace cada cosa:

• RewriteEngine On: activa el motor de reescritura. Sin esto, nada funciona.
• Primera RewriteCond: permite peticiones sin referer (algunos navegadores y lectores de RSS las envían así; no conviene cortarlas).
• Segunda y tercera RewriteCond: dan acceso a tu propio dominio y a Google. Sustituye tusitio.com por tu dominio real y, si quieres permitir Bing o redes sociales, añade líneas similares.
• RewriteRule: devuelve un error 403 (Forbidden, gracias al flag [F]) para cualquier imagen que venga de otros sitios.

Paso 3: Sube el archivo y verifica

Guarda, sube al servidor y comprueba: abre tu web en modo incógnito para verificar que tus imágenes se ven bien, y si conoces algún sitio que estaba haciendo hotlinking, revisa que ahí ya no carguen.

Un aviso honesto: un .htaccess mal configurado puede tumbar tu web entera con errores 500. Prueba siempre después de cada cambio, por pequeño que sea. Y si no quieres complicaciones, en RedServicio ofrecemos hosting con soporte técnico 24/7 que puede aplicar estas configuraciones de forma segura.

Código .htaccess: permitir excepciones (Google, redes sociales y tu propio dominio)

Aquí está el detalle que muchos olvidan. Si bloqueas todo sin distinción, la cosa se tuerce rápido: tus imágenes desaparecen de las miniaturas de Google Imágenes, Facebook deja de generar vistas previas y WhatsApp muestra un enlace pelado, sin imagen. El SEO resiente el golpe y tu visibilidad también.

La solución pasa por usar la directiva RewriteCond con el patrón de dominios permitidos antes de la regla de bloqueo. ¿Qué conviene incluir?

1. Tu propio dominio: siempre con y sin «www», para no bloquearte a ti mismo (pasa más de lo que parece).
2. Google: incluye google.com, google.es y el subdominio googleusercontent.com.
3. Redes sociales: añade facebook.com, fbcdn.net, twitter.com, twimg.com, pinterest.com y linkedin.com.
4. Mensajería: si quieres que al compartir un enlace se genere vista previa, agrega whatsapp.net y telegram.org.

El código quedaría así:

• RewriteEngine On
• RewriteCond %{HTTP_REFERER} !^$
• RewriteCond %{HTTP_REFERER} !^https?://(www\.)?(tudominio\.com|google\.com|facebook\.com|twitter\.com) [NC]
• RewriteRule \.(jpg|jpeg|png|gif|webp)$ – [F,NC,L]

Fíjate en el patrón !^https?://, que cubre tanto HTTP como HTTPS, y en el flag [NC] (no case), que ignora mayúsculas y minúsculas. Un consejo que me ahorra sustos: prueba siempre estas reglas en staging antes de tocar producción.

Proteger tu ancho de banda más allá de .htaccess: buenas prácticas adicionales

Bloquear hotlinks con .htaccess es una buena primera capa. Pero conviene reforzarla. Con qué:

• Optimiza tus imágenes: usa formatos modernos como WebP o AVIF y compresión con herramientas como TinyPNG o el módulo mod_brotli. Cuanto menos pese cada archivo, menor será el impacto de cualquier abuso.
• Usa una CDN con protección de hotlink: servicios como Cloudflare incluyen una opción nativa para bloquear el hotlinking directamente en el edge, descargando aún más tu servidor de origen.
• Genera marcas de agua: para fotografía o portfolios, una marca visible desincentiva el robo incluso si la imagen acaba apareciendo en otra web. No es infalible, pero funciona.
• Monitoriza tu ancho de banda: revisa los logs del servidor o el panel de tu hosting con cierta periodicidad, buscando picos de tráfico anómalos que delaten a quien enlaza tus recursos.
• Renombra archivos sensibles: si un sitio concreto sigue robándote contenido, cambiar el nombre del archivo rompe su enlace al instante. Simple y efectivo.

Un hosting de calidad, con recursos bien dimensionados, también marca la diferencia. Si tu plan actual se satura con facilidad, quizá toca plantearse una actualización. En RedServicio encontrarás planes con ancho de banda generoso y soporte técnico 24/7 que te pueden asesorar.

Conclusión: protege tu web y ahorra recursos desde hoy

Al final, bloquear hotlinks de imágenes es una tarea sencilla que ahorra cantidades nada desdeñables de ancho de banda, mejora el rendimiento del sitio y protege tu propiedad intelectual. Unas pocas líneas en el archivo .htaccess, las excepciones correctas para buscadores y redes sociales, y las buenas prácticas que hemos repasado: con eso tu web queda bastante mejor defendida contra el robo de recursos.

Eso sí, una copia de seguridad del archivo antes de editarlo, siempre. Y prueba cada cambio, monitorizando el tráfico durante los días siguientes por si algo se tuerce. Si prefieres no pelearte con estos detalles técnicos, el equipo de RedServicio está disponible las 24 horas para ayudarte a configurar tu hosting de forma segura y eficiente.