Cómo proteger las descargas digitales en WooCommerce
¿Vende un libro electrónico, un pdf, música o software a través de WooCommerce? En ese caso, querrá que solo los clientes que han pagado puedan descargar el archivo. WooCommerce lo gestiona mediante un enlace de descarga protegido, pero esto solo funciona bien si el método de descarga es seguro y la carpeta con los archivos está cerrada. A continuación le explicamos cómo funciona, qué debe configurar y cómo comprobar que un enlace directo no funciona.
Cómo funciona una descarga en WooCommerce
Marque en un producto la opción Descargable (Downloadable) y suba el archivo. WooCommerce lo coloca en la carpeta wp-content/uploads/woocommerce_uploads/. Por defecto, añade una serie aleatoria de caracteres al nombre del archivo, de modo que el nombre sea difícil de adivinar. El cliente nunca recibe esa dirección, sino un enlace a su tienda. En cada clic, WooCommerce comprueba si la descarga pertenece a un pedido pagado y si el límite y la fecha de caducidad todavía no se han alcanzado. Solo entonces el cliente recibe el archivo.
Si no se envía nada con el pedido, marque también Virtual (Virtual). De esta forma, WooCommerce no cobra gastos de envío.
Elija un método de descarga seguro
Vaya a WooCommerce > Ajustes > Productos > Productos descargables y revise el método de descarga de archivos (File download method):
| Método | Qué ocurre | ¿Es seguro? |
|---|---|---|
| Forzar descargas (Force downloads, por defecto) | PHP lee el archivo y lo envía él mismo al cliente. | Sí. En archivos muy grandes, PHP puede alcanzar su límite de tiempo. |
| X-Accel-Redirect/X-Sendfile | PHP comprueba, el servidor web envía el archivo. | Sí, si el servidor web lo admite. |
| Solo redirigir (Redirect only) | El cliente va a la dirección real del archivo. | No. Quien tenga la dirección puede compartirla. El propio WooCommerce lo califica de inseguro. |
Elija Forzar descargas, salvo que esté seguro de que X-Sendfile funciona. Desactive también la opción con la que WooCommerce, como último recurso, recurre a la redirección.
La carpeta woocommerce_uploads debe estar cerrada
Con un método seguro, la propia carpeta debe estar cerrada para los visitantes normales. De lo contrario, alguien que conozca el nombre del archivo, por ejemplo a partir de un enlace filtrado, puede obtener el archivo directamente. Por eso WooCommerce coloca dos archivos en la carpeta durante la instalación:
- un
index.htmlvacío, para que no se muestre ninguna lista de archivos; - un
.htaccesscon la regladeny from all, que rechaza todas las solicitudes directas.
Un archivo .htaccess de este tipo funciona en servidores web que lo leen, como Apache y LiteSpeed. Nuestros servidores funcionan con LiteSpeed, de modo que en WebOké esta protección funciona sin ajustes adicionales. En un servidor con nginx, el servidor web no lee .htaccess; en ese caso se necesita una regla en la configuración del servidor. Si más adelante traslada su tienda a un servidor de ese tipo, vuelva a comprobarlo.
El archivo .htaccess está oculto. Si desea comprobar si está presente, consulte Mostrar y editar archivos ocultos como .htaccess. No lo elimine.
Comprobar que un enlace directo no funciona
- Abra, en un producto descargable, la dirección del archivo tal como la muestra WooCommerce. Empieza por
/wp-content/uploads/woocommerce_uploads/. - Abra esa dirección en una ventana privada, en la que no haya iniciado sesión.
- Es correcto si aparece un mensaje de error 403 Forbidden (o 401 o 404). Si puede ver o descargar el archivo sin más, la carpeta está abierta.
Pruebe siempre con un archivo real, no solo con la carpeta. Una página vacía en la carpeta puede ser simplemente el index.html vacío, mientras que los propios archivos siguen abiertos. En la línea de comandos también puede comprobarlo: curl -I https://example.com/wp-content/uploads/woocommerce_uploads/archivo.pdf debe devolver un 403. Puede leer qué significa un 403 en Prohibido (403): No tiene permiso para acceder a / en este servidor.
Límites y acceso
- El límite de descargas y la fecha de caducidad se configuran por producto o variación. Si se deja vacío, es ilimitado. Un límite estricto reduce el intercambio de archivos, pero genera quejas si alguien compra un ordenador nuevo.
- El acceso tras el pago está activado por defecto: el cliente puede descargar en cuanto el pago se ha completado correctamente.
- Carpetas de descarga aprobadas (Approved download directories): solo los archivos de estas carpetas o de estas direcciones pueden utilizarse como descarga. Mantenga la lista corta.
Si vende contenido digital a consumidores, regule también cómo funciona el derecho de desistimiento en las descargas. WooCommerce no lo hace de forma automática. Este artículo no constituye asesoramiento jurídico; consulte a la OCU o a un profesional del derecho.
Más información
- Digital and downloadable product handling (WooCommerce, en inglés)
- Curso gratuito de WordPress, lección 7.4 Reforzar la seguridad del sitio: permisos, cabeceras y plugins de seguridad