Token di embed vs URL firmato
Due pattern per controllare chi può riprodurre un video: token di embed opachi (lookup lato server) e URL firmati (querystring firmate HMAC). Entrambi diffusi; hanno trade-off diversi.
Token di embed (opachi)
Una stringa breve e opaca che lato server mappa a metadati di accesso: ID video, origin consentite, scadenza, ID spettatore per il watermark, rate limit.
Pro:
- Revoca in tempo reale — invalidare il token nel DB e il prossimo recupero chiave fallisce.
- Metadati ricchi — analytics per token, rate limit personalizzati, binding al watermark dinamico.
- URL brevi e puliti —
/watch/abc123.
Contro:
- Stato lato server — ogni recupero chiave valida il token con un lookup DB.
- Latenza leggermente maggiore sui lookup non in cache.
Usato da: AVCaption.
URL firmati (HMAC)
Un URL con firma crittografica appesa: /segment.ts?expires=1735689600&sig=abcdef.... La firma è calcolata dal server della piattaforma con una chiave segreta e verificata all’edge — nessun roundtrip al server.
Pro:
- Stateless — verificabile all’edge CDN senza roundtrip server.
- Veloce — verifica crittografica in microsecondi.
Contro:
- Niente revoca — una volta firmato, valido fino a scadenza.
- Meno metadati — solo ciò che entra nei parametri URL.
- URL più lunghi.
Usato da: AWS S3 presigned URL, CloudFront signed URL, Cloudflare Stream signed URL.
Quando ha senso ciascuno
Token di embed (opaco) è giusto quando:
- Devi revocare l’accesso dopo l’emissione (rimborsi, sospensione account)
- Vuoi analytics per spettatore o watermark dinamico
- Vuoi URL brevi e puliti per l’embedding
URL firmato è giusto quando:
- Operi a scala enorme dove l’overhead del lookup DB pesa
- La revoca non è un requisito (basta una scadenza breve)
- Il livello di distribuzione (edge CDN) verifica le firme nativamente
Per corsi a pagamento e contenuti riservati, i token di embed opachi sono la scelta migliore. Per distribuzione pubblica una tantum gli URL firmati sono più semplici.
AVCaption usa token opachi con generazione opzionale per sessione via REST API per un controllo accesso dinamico.