Desvio de URL: em que consiste
Através do sequestro de URL (também conhecido como «URL hijacking»), a sua página pode ser removida do índice do motor de busca, o que a oculta a todos os potenciais visitantes. Este fenómeno ocorre quando, em vez de links diretos, se recorre a redirecionamentos.
O que é o sequestro de URL?
Por «sequestro de URL» entende-se uma forma de cibercriminalidade que faz desaparecer uma página da lista de resultados e a substitui por outra. Esta segunda página remete para a página verdadeira, mas não através de um link direto com a tag <a> do HTML, mas sim por meio de um redirecionamento. Neste exemplo, tu-pagina.es é ligada à pagina-que-enlaza.es através de um redirecionamento:
www.pagina-que-enlaza.es/redirect.php?target=www.tu-pagina.esQuando o motor de busca encontra um link deste tipo, interpreta que ambas as páginas são idênticas, o que faz com que elimine uma delas do índice, como se se tratasse de um duplicado. Para realizar esta ação, o motor de busca baseia-se nos códigos de estado HTTP próprios das redireções.
Enquanto o código 301 indica um redirecionamento permanente (Moved permanently) para o domínio indicado, o código 302 é utilizado para indicar um redirecionamento temporário (Found) e, enquanto o primeiro não apresenta problemas, o segundo permite o sequestro de URLs. Este tipo de redirecionamento temporário, que não implica qualquer verificação da relação entre ambas as páginas, sugere ao rastreador do motor de busca que a página para a qual se redireciona só existe durante um período de tempo limitado e que a página de destino é a verdadeira, de modo que o site falso passa a fazer parte do índice do motor de busca, recebendo assim o posicionamento do site verdadeiro.
Redirecionamentos 301 e 302: quando e por que são utilizados
O redirecionamento de domínios é realizado por diversos motivos. Uma prática muito comum consiste em utilizar o código 301 para redirecionar permanentemente os domínios com erros ortográficos para o domínio correto, de modo que, se for digitado googel.es em vez de google.es na barra de pesquisa do navegador, a página inicial do motor de busca seja aberta. Também é habitual redirecionar para o endereço correto da página inicial.
Por exemplo, ao abrir a página principal da Wikipédia em espanhol no es.wikipedia.org, um redirecionamento do tipo 301 leva ao endereço https://es.wikipedia.org/wiki/Wikipedia:Portada. Os administradores também utilizam redirecionamentos permanentes quando, após uma mudança de domínio, pretendem encaminhar os visitantes para o novo domínio ou indicar corretamente o conteúdo das páginas com um novo endereço web.
Por outro lado, os redirecionamentos do tipo 302 têm como função principal apresentar conteúdo num domínio diferente por um período de tempo limitado, por exemplo, durante trabalhos de manutenção. Quando um webmaster cria este redirecionamento manualmente, geralmente fá-lo com a intenção de que o conteúdo volte a aparecer na página original em algum momento. No entanto, existem três cenários de redirecionamento temporário que podem conduzir ao sequestro de URL ou que têm mesmo esse objetivo.
Utilização involuntária do redirecionamento 302
É possível que alguns administradores criem um redirecionamento temporário para um projeto externo sem que haja qualquer intenção maliciosa por trás disso. Pode tratar-se de um erro, pois, na verdade, deveria ter sido configurado um redirecionamento permanente. O módulo de reescrita de URLs do servidor Apache, o mod_rewrite, também cria redirecionamentos 302 por predefinição.
URL geradas dinamicamente
O PHP é fundamental no desenvolvimento web. Os códigos do lado do servidor escritos nesta popular linguagem de programação constituem uma forma simples e prática de criar conteúdos dinâmicos para a web, mas também existem scripts PHP que redirecionam endereços de forma dinâmica numa URL, utilizando para tal o código de estado 302. Este tipo de scripts é utilizado, sobretudo, em diretórios de endereços web, mas também em muitos sistemas de gestão de conteúdos.
Sequestro de URL com intenções criminosas
Os sequestradores de URL também estão familiarizados com o código de redirecionamento temporário e fazem bom uso dele para impulsionar a indexação dos seus próprios conteúdos, «sequestrando» para tal as páginas melhor posicionadas. Esta prática, que não é sustentável a longo prazo nem, de facto, legal, conta-se entre as técnicas impopulares do chamado black hat SEO.
Comparação do sequestro de URL com outros métodos de ataque
É comum confundir o sequestro de URL com outros métodos de ataque, como o sequestro de domínio ou o typosquatting. No entanto, embora também possam afetar a classificação do seu site, não são a mesma coisa.
Sequestro de URL vs. sequestro de domínio
Embora tanto o sequestro de URL como o sequestro de domínio sejam utilizados com o objetivo de assumir o controlo de um site, existe uma diferença fundamental na abordagem. No sequestro de domínios, os atacantes pretendem assumir o controlo de um domínio acedendo às contas de administração do mesmo. Para tal, alteram-se, por exemplo, as configurações de DNS. Desta forma, os atacantes podem assumir o controlo da presença online da vítima.
Sequestro de URL vs. typosquatting
Como o próprio nome indica, a técnica de ataque denominada «typosquatting» tira partido dos erros ortográficos. Normalmente, quando o utilizador comete um erro ao escrever um endereço web, é frequentemente redirecionado para a página web correta. No entanto, no caso do «typosquatting», os atacantes fazem algo diferente: registam nomes de domínio que incluem erros ortográficos comuns e utilizam esses nomes para direcionar os visitantes para o seu próprio site, que muitas vezes contém código malicioso.
Como proteger o seu projeto contra o sequestro de URL
Quando se trabalha na melhoria do posicionamento de uma página, rapidamente se percebe o quão exigente é esta tarefa. Quanto mais alto um site sobe no topo do motor de busca, maior é a probabilidade de estar na mira de algum sequestrador de URL. Ao contrário do que acontece, por exemplo, num ataque motivado por uma vulnerabilidade no projeto, o funcionamento do hijacking está intimamente ligado a uma disciplina fundamental do SEO, como é a criação de links, e, por isso, é muito difícil de impedir com software de segurança. Consequentemente, é necessário analisar regularmente os backlinks, tanto os novos como os já existentes, para filtrar domínios problemáticos.
Para tal, existe um grande número de ferramentas e serviços online, tais como:
Esta última inclui uma ferramenta para eliminar URLs, que permite remover do índice de pesquisa redirecionamentos para um projeto web que não deveriam estar lá. Antes de o fazer, é recomendável contactar o administrador responsável para que ajuste o redirecionamento, de modo a que os links não se percam. A este respeito, o código de estado 307 (Temporary Redirect), disponível desde o HTTP 1.1, permite efetuar redirecionamentos temporários sem risco de hijacking.
Quando a página original já tiver sido removida do índice, o mais indicado seria, então, contactar o fornecedor do motor de busca após a remoção do link prejudicial e solicitar a recuperação da classificação anterior.