Digitale downloads in WooCommerce afschermen

Verkoop je een e-book, een pdf, muziek of software via WooCommerce? Dan wil je dat alleen betalende klanten het bestand kunnen ophalen. WooCommerce regelt dat met een beveiligde downloadlink, maar dat werkt alleen goed als de downloadmethode veilig is en de map met bestanden dicht zit. Hier lees je hoe het werkt, wat je instelt en hoe je controleert dat een directe link niet werkt.

Hoe een download in WooCommerce werkt

Vink bij een product Downloadbaar (Downloadable) aan en upload het bestand. WooCommerce zet het in de map wp-content/uploads/woocommerce_uploads/. Standaard plakt het een willekeurige reeks tekens achter de bestandsnaam, zodat de naam moeilijk te raden is. De klant krijgt nooit dat adres, maar een link naar je shop. Bij elke klik controleert WooCommerce of de download bij een betaalde bestelling hoort en of de limiet en de vervaldatum nog niet bereikt zijn. Pas dan krijgt de klant het bestand.

Gaat er niets met de post, vink dan ook Virtueel (Virtual) aan. Dan rekent WooCommerce geen verzendkosten.

Kies een veilige downloadmethode

Ga naar WooCommerce > Instellingen > Producten > Downloadbare producten en kijk bij de downloadmethode (File download method):

Kies Forceer downloads, tenzij je zeker weet dat X-Sendfile werkt. Laat ook de optie uit waarmee WooCommerce als laatste redmiddel terugvalt op doorsturen.

De map woocommerce_uploads moet dicht

Met een veilige methode moet de map zelf dicht zijn voor gewone bezoekers. Anders kan iemand die de bestandsnaam kent, bijvoorbeeld uit een gelekte link, het bestand rechtstreeks ophalen. WooCommerce zet daarom bij de installatie twee bestanden in de map:

• een leeg index.html, zodat er geen lijst met bestanden te zien is;
• een .htaccess met de regel deny from all, die alle directe verzoeken weigert.

Zo'n .htaccess-bestand werkt op webservers die het lezen, zoals Apache en LiteSpeed. Onze servers draaien op LiteSpeed, dus bij WebOké werkt deze bescherming zonder extra instellingen. Op een server met nginx leest de webserver geen .htaccess; daar is een regel in de serverconfiguratie nodig. Verhuis je je shop later naar zo'n server, controleer het dan opnieuw.

Het .htaccess-bestand is verborgen. Wil je zien of het er staat, zie Verborgen bestanden zoals .htaccess tonen en bewerken. Verwijder het niet.

Controleren dat een directe link niet werkt

1. Open bij een downloadbaar product het bestandsadres zoals WooCommerce het toont. Het begint met /wp-content/uploads/woocommerce_uploads/.
2. Open dat adres in een privévenster, waarin je niet bent ingelogd.
3. Goed is een foutmelding 403 Forbidden (of 401 of 404). Krijg je het bestand gewoon te zien of te downloaden, dan staat de map open.

Test altijd een echt bestand, niet alleen de map. Een lege pagina bij de map kan het lege index.html zijn, terwijl de bestanden zelf wel open staan. Op de opdrachtregel kan het ook: curl -I https://example.com/wp-content/uploads/woocommerce_uploads/bestand.pdf moet een 403 geven. Wat een 403 betekent, lees je in Forbidden (403): You don't have permission to access / on this server.

Limieten en toegang

• Downloadlimiet en vervaldatum stel je per product of variatie in. Leeg is onbeperkt. Een strenge limiet beperkt delen, maar geeft klachten als iemand een nieuwe computer koopt.
• Toegang na betaling staat standaard aan: de klant kan downloaden zodra de betaling gelukt is.
• Goedgekeurde downloadmappen (Approved download directories): alleen bestanden uit deze mappen of van deze adressen mogen als download dienen. Houd de lijst kort.

Verkoop je digitale inhoud aan consumenten, regel dan ook hoe het herroepingsrecht werkt bij downloads. WooCommerce doet dat niet vanzelf. Dit artikel is geen juridisch advies; kijk bij de ACM of vraag het een jurist.

Verder lezen

• Digital and downloadable product handling (WooCommerce, Engels)
• Gratis WordPress-cursus, les 7.4 De site verharden: rechten, headers en beveiligingsplugins