# O que é URL hijacking e como prevenir um attack? O chamado ***URL hijacking*** pode fazer com que seu site seja removido da indexação de um mecanismo de busca, permanecendo oculto a potenciais visitantes. Este fenômeno costuma ocorrer devido ao uso de redirecionamentos ao invés de links. ## O que é *URL hijacking*? *URL hijacking* pode ser explicado como o fenômeno no qual um site desaparece dos resultados de um mecanismo de busca, sendo **substituído por outro**. Este segundo site, por sua vez, acessa o site de fato ou o URL de destino real, por meio de um redirecionamento. Por exemplo, `site-linkado.com` leva ao `site-de-fato.com`, por **redirecionamento** ao invés de pela tag HTML ``, que é o usual. Nestes casos, o URL de redirecionamento se assemelha ao do exemplo: ```none site-linkado.com/redirect.php?target=site-de-fato.com ``` Quando um mecanismo de busca encontra um link assim, ele entende o site que contém o link de redirecionamento e o site de destino como idênticos. Consequentemente, o mecanismo de busca **remove um dos dois da indexação**, por orientar-se por definições de códigos de status HTTP anexados ao [redirecionamento de URL](https://www.ionos.com/pt-br/digitalguide/dominios/administracao-de-dominios/conceitos-basicos-sobre-redirecionamento-de-url/). Enquanto o cógido 301: Movido Permanentemente (*Moved Permanently*) evidencia o redirecionamento permanente do URL solicitado, o código 302: Encontrado (*Found*) sinaliza um redirecionamento temporário para o URL designado. O primeiro caso não traz problemas ao site, entretanto o **redirecionamento 302 é a principal causa de *URL hijacking***. É que este tipo de redirecionamento sugere ao*crawler*do mecanismo de busca que o site de destino (oficial) é temporário e que o site linkado (temporário) é oficial. Sem uma verificação adequada, a**página incorreta é indexada** e assume a classificação da página oficial. ## Quando redirecionamentos 301 e 302 são usados? Existem diversos motivos para se usar redirecionamentos de URL. O **redirecionamento permanente (301) de domínios com erros de digitação** ao domínio correto é uma prática comum. Por exemplo, se você digitar acidentalmente `googel.com`, ao invés de `google.com` na barra de endereço do navegador, ainda assim chegará ao site original do popular mecanismo de busca. **O redirecionamento permanente ao endereço correto de uma página principal** também não é incomum. Por exemplo, ao visitar a página principal (da versão em língua portuguesa) da Wikipédia, digitando `pt.wikipedia.org` no navegador, você será levado automaticamente ao endereço `https://pt.wikipedia.org/wiki/Wikipédia:Página_principal` por meio de um redirecionamento 301. Desenvolvedores também usam redirecionamentos permanentes para levar visitantes ao novo endereço após uma **[mudança de domínio](https://www.ionos.com/pt-br/digitalguide/dominios/domainverwaltung/como-fazer-alteracao-de-dominio/)** ou ao conteúdo de um projeto web que tenha recebido um **novo URL**. Por outro lado, redirecionamentos 302 são usados, principalmente, para **exibir temporariamente o conteúdo de outro URL**, para que o primeiro permaneça acessível. Isso é útil, por exemplo, se a página oficial estiver em manutenção. Quando um desenvolvedor cria manualmente este tipo de redirecionamento, sua intenção é que o conteúdo volte a ser exibido futuramente pelo URL oficial. Existem três cenários de redirecionamento que podem resultar em *URL hijacking*, sendo que um deles é usado intencionalmente com essa finalidade. ### Uso não intencional do redirecionamento 302 É possível que desenvolvedores linkem projetos diferentes usando um redirecionamento temporário, sem que haja má intenção. Por exemplo, eles podem fazer isso acidentalmente enquanto tentam configurar um redirecionamento permanente. O mecanismo de reescrita de URL do servidor web Apache `mod_rewrite` concede aos redirecionamentos, por padrão, o código 302. ### URLs gerados dinamicamente PHP é uma linguagem de script amplamente usada no desenvolvimento web. É que os scripts de servidor desta linguagem de programação constituem forma simples e prática de criar conteúdo dinâmico para sites. No entanto, muitas vezes estes scripts PHP integram dinamicamente endereços de destino a URLs já existentes, por realizarem redirecionamentos temporários por meio da utilização do código 302. Scripts deste tipo são geralmente usados em diretórios de endereços web, mas também podem estar presentes em sistemas de gerenciamento de conteúdo (CMS). ### *URL hijacking attack*: Redirecionamento intencional Criminosos conhecem a prática de *URL hijacking* e, muitas vezes, se aproveitam dela. De forma intencional, eles utilizam redirecionamentos 302 para impulsionar conteúdos próprios na indexação dos mecanismos de busca, “sequestrando” (*hijacking*, em inglês) páginas com boa classificação. Tal estratégia não é sustentável e tampouco legal, configurando uma prática que se enquadra como [*black hat SEO*](https://www.ionos.com/pt-br/digitalguide/marketing-online/marketing-em-buscadores/como-funciona-o-black-hat-seo/ "Como funciona black hat SEO"). ## *URL hijacking attack* vs. outros métodos de ataque *URL hijacking attack* costuma ser confundido com outros métodos criminosos, como *domain hijacking* e *typosquatting*. Na verdade, cada um configura um ataque diferente, mas todos podem ser usados para prejudicar você ou a classificação do seu site. ### *URL hijacking* vs. *domain hijacking* Embora tanto *URL hijacking* quanto *domain hijacking* sejam usados com o intuito de assumir o controle de um site, os dois métodos de ataque são diferentes, especialmente no que diz respeito à abordagem. A prática de *domain hijacking* ocorre quando criminosos controlam um domínio depois de conseguirem **acesso às contas de gerenciamento dele**, por exemplo, mediante alteração de configurações do sistema de nomes de domínio (DNS). No pior dos cenários, os criminosos conseguem assumir controle total sobre a presença web de uma vítima. ### *URL hijacking* vs. *typosquatting* A técnica de ataque conhecida como *typosquatting* se aproveita de erros de digitação. A prática atua nos redirecionamentos que costumam ser usados para ajudar visitantes a chegarem ao destino desejado, mesmo que cometam pequenos erros de digitação. Ao praticarem *typosquatting*, criminosos **registram propositalmente domínios com erros de digitação comuns**, para levar visitantes a outros sites, que costumam conter códigos maliciosos. ## Como proteger seu site contra *URL hijacking attack* Quem tenta melhorar a classificação do próprio site sabe como o processo é desafiador e demorado. Por consequência, quanto mais você sobe na classificação dos mecanismos de busca, maior é a probabilidade de suas páginas indexadas serem atacadas. Ao contrário de um ataque que ocorre por causa de brechas de segurança em um projeto, o *URL hijacking attack* está diretamente ligado à **prática SEO de *link building***. Portanto, ele não pode ser impedido por softwares antivírus. Por isso, é muito importante que você analise regularmente tanto seus *[backlinks](https://www.ionos.com/pt-br/digitalguide/marketing-online/marketing-de-mecanismos-de-busca/o-que-sao-backlinks/)* novos quanto os antigos, com o objetivo de filtrar URLs problemáticos. Existem diversas ferramentas e serviços que lhe ajudam na tarefa. Entre elas estão: - [SEMrush](https://pt.semrush.com/ "Ferramenta de SEO SEMrush") - [LinkResearchTools](https://www.linkresearchtools.com/ "LinkResearchTools — Auditoria de backlinks") - [SISTRIX](https://www.sistrix.com/ "SISTRIX — Seu SEO software all-in-one") - [Google Search Console](https://developers.google.com/search?hl=pt-br?hl=pt-br "Como colocar seu site na Pesquisa Google — google.com") Ainda, o Google disponibiliza uma [ferramenta para remover URLs](https://support.google.com/webmasters/answer/9689846?visit_id=638339902237118172-3498101518&rd=1 "Ferramenta de remoção e recursos de denúncia do SafeSearch — google.com"), que permite **excluir qualquer redirecionamento indesejado que aponte para o seu site na indexação do buscador**. Antes de fazer isso, contudo, entre em contato com o administrador responsável pelo seu site e solicite o ajuste do roteamento. Fazendo assim, talvez você consiga manter os *backlinks* afetados. O código de status 307: Redirecionamento Temporário (*Temporary Redirect*) é outra opção de roteamento temporário, disponível a partir do HTTP 1.1, que não resulta em *URL hijacking*. Se seu site oficial já tiver desaparecido da indexação, entre em contato com a equipe de atendimento do mecanismo de busca e solicite a **restauração da classificação original**, depois que você já tiver removido ou alterado o(s) *backlink*(s) afetado(s). This is a markdown version of: [https://www.ionos.com/pt-br/digitalguide/dominios/administracao-de-dominios/o-que-e-url-hijacking/](https://www.ionos.com/pt-br/digitalguide/dominios/administracao-de-dominios/o-que-e-url-hijacking/) for AI/LLM consumption.