Schriftdateien vor Download schützen

In einem anderen Beitrag wurde bereits erwähnt, dass es bei der Verwendung von Schriften zur Grafikerzeugung in Typo3 schnell zu einem Lizenzverstoß kommen kann.
Dass viele Typo3-Entwickler die für den GIFBUILDER benötigten Schriftdateien in den Ordner fileadmin/fonts legen, ist kein Zufall sondern hat durchaus seinen Sinn. Liegen diese Dateien in jenem Ordner, kann der Administrator sie wunderbar und bequem mit der Typo3-eigenen Filelist (dt. Dateiliste) verwalten, austauschen, updaten, etc. Aber wie bereits in oben verlinktem Beitrag erwähnt wurde, liegt die Datei dann praktisch für die ganze Welt zum Download bereit, was einen gravierenden Lizenzverstoß darstellt.
Um das zu verhindern, könnte man die Datei außerhalb des Web-Verzeichnisses abspeichern. Typo3 könnte die Schrift dann noch immer finden, aber der Download der Datei wäre nicht mehr möglich. Dieses Vorgehen hätte jedoch zwei deutliche Nachteile. Zum Einen wären die Font-Dateien nicht mehr über die Filelist sichtbar und pflegbar und zum Anderen müsste man sich bei einem Backup oder einem Umzug nicht nur um das Web-Verzeichnis kümmern, sondern auch immer an die extern liegenden Schriftdateien denken. Das würde sicherlich früher oder später einen Fehler und somit auch Ärger hervorrufen.
Eleganter wäre es also, die Schriftdateien weiterhin wie gewohnt innerhalb des Ordners fileadmin abzuspeichern. Aber wie kann man diese dann vor dem Download schützen. Die Lösung dafür ist eine kleine aber feine .htaccess-Datei. Mit solchen Dateien lassen sich auf Apache-Systemen individuelle Einstellungen für einzelne Verzeichnisse vornehmen.
Legt man folgende Dateien in den Ordner, in dem alle Schriftdateien liegen (z.B. fileadmin/fonts), ist der Zugriff von außerhalb gespert.

Order Deny,Allow
Deny from all

Auch der scheinbar komplizierte Fall, dass die Schriftdateien nicht in einem eigenen Ordner liegen, ist für die .htaccess-Datei kein Problem. Die Datei mit folgendem Inhalt könnte man z.B. direkt in den Ordner fileadmin legen und fortan wären alle Dateien mit der Endung .ttf die in diesem Verzeichnis oder einen Unterverzeichnis in beliebiger Tiefe liegen, von außen unerreichbar. Liegen Schriftdateien auch mit weiteren Endungen vor, muss die Datei dementsprechend angepasst werden.

<Files *.ttf>
Order Deny,Allow
Deny from all
</Files>

Das Tolle am Schutz der Dateien mittels .htaccess ist, dass diese von einem Web-Besucher über das http-Protokoll nicht erreichbar sind. Typo3 greift mit seinem GIFBUILDER jedoch nicht mit dem http-Protokoll auf die Datei zu, sondern nutzt dafür direkt das Dateisystem des Servers. Typo3 kann die Schriftdateien also weiterhin ungestört zum generieren von Grafiken nutzen, aber die Datei kann nicht herunter geladen werden.
Außerdem liegen die Schriften noch immer für den Typo3-Entwickler schön aufgeräumt in der Filelist.

Lizenzverstoß bei eingebetteten Schriften in TYPO3

Ein sehr nettes Feature in TYPO3 ist, dass direkt Schriften in Navigationen oder Headlines über die Grundfunktion „GIFBUILDER“ eingebettet werden können. TYPO3 generiert dann direkt mit der gewünschten Schrift eine Grafik. Hierzu muss die gewünschte Schrift auf den Webserver gelegt werden, dass TYPO3 direkt darauf zugreifen kann. In den meisten Fällen wird das von TYPO3 empfohlene Verzeichnis „/fileadmin/fonts/“ verwendet.
Zu den ganzen Vorteilen die TYPO3 mit dieser Funktion bietet, ist die Verleitung groß, unbewusst einen Lizenzverstoß zu begehen. Die wenigsten, die diese Funktion nutzen wissen, dass wenn in ein beliebiges Verzeichnis auf dem Server ein Schrift kopiert wird die in TYPO3 eingebunden wird, eine Verletzung der Lizenz- und Nutzungsbedingungen der Schriftanbieter zwangsläufig stattfindet. Ab dem Zeitpunkt, wo die Schrift auf den Webserver kopiert wird, ist sie für jeden, der die technische Voraussetzung hat, frei zum Download. Das ist natürlich nicht im Interesse der Schriftenanbieter. Zu Recht!

Grundsätzlich sollten Sie das Verzeichnis, in dem Sie die Schriften ablegen, mit einem HTACCSS Passwortschutz versehen. Dann ist gewährleistet, dass das Verzeichnis nur über eine Eingabe eines Passworts und Benutzername erreichbar ist. Das macht einen Zugriff doch eher unwahrscheinlich.

Linotype wehrt sich derzeit heftig mit Abmahnungen gegen solche Verstöße.