URL hijacking: di­rot­ta­men­to dell’URL

Tramite l’URL hijacking (in italiano “di­rot­ta­men­to dell’URL”) è possibile che il tuo sito venga can­cel­la­to dall’indice del ri­spet­ti­vo motore di ricerca e po­ten­zia­li vi­si­ta­to­ri e vi­si­ta­tri­ci avranno più dif­fi­col­tà a trovarti. Questo fenomeno si verifica so­prat­tut­to quando si uti­liz­za­no rein­di­riz­za­men­ti al posto di link.

Che cos’è l’URL hijacking?

Il termine URL hijacking definisce quel fenomeno per il quale una pagina internet scompare er­ro­nea­men­te dai risultati di un motore di ricerca e viene so­sti­tui­ta da un’altra. Questa altra pagina rimanda con un link all’effettiva pagina di de­sti­na­zio­ne, quindi all’URL, ma non tramite un link diretto, bensì at­tra­ver­so un inoltro (chiamato anche redirect, “rein­di­riz­za­men­to” in italiano). Così si rimanda ad esempio da pagina-da-collegare.it a la-tua-pagina.it, ma non con un solito tag HTML <a>, piuttosto che con un rein­di­riz­za­men­to. L’URL per il rein­di­riz­za­men­to appare ad esempio così:

www.pagina-da-collegare.it/redirect.php?target=www.la-tua-pagina.it

Se un motore di ricerca trova un link simile, clas­si­fi­ca la pagina da collegare e la pagina di de­sti­na­zio­ne come identica, il che comporta che una delle due venga rimossa dall’indice. Perciò si orienta in base ai codici di stato HTTP che sta­bi­li­sco­no i rein­di­riz­za­men­ti del dominio.

Mentre il codice 301 (Moved Per­ma­nen­tly) definisce un rein­di­riz­za­men­to per­ma­nen­te all’URL inserito, il codice 302 (Found) segnala un rein­di­riz­za­men­to prov­vi­so­rio all’URL indicato. Con il primo tipo non sorgono dif­fi­col­tà, mentre con il redirect 302 si manifesta un eventuale URL hijacking. Questi inoltri, così con­tras­se­gna­ti, sug­ge­ri­sco­no ai crawler dei motori di ricerca che la pagina di de­sti­na­zio­ne esisterà solo tem­po­ra­nea­men­te e che la pagina collegata è in realtà quella originale: non avviene però un controllo volto a ve­ri­fi­ca­re se entrambe le pagine abbiano un qualche legame tra di loro. In questo modo viene in­di­ciz­za­ta la pagina errata, che prende così il ranking dell’URL collegato.

In quali casi vengono uti­liz­za­ti i redirect 301 e 302?

Ci sono molti motivi che spingono a uti­liz­za­re gli inoltri dell’URL. Così i rein­di­riz­za­men­ti per­ma­nen­ti dei domini digitati in modo sbagliato ai domini corretti sono una pratica molto diffusa. Se nella barra degli indirizzi del proprio browser si digita, ad esempio, er­ro­nea­men­te googel.com al posto di google.com, si finisce comunque sull’homepage del famoso motore di ricerca. È frequente anche l’inoltro per­ma­nen­te all’indirizzo corretto della pagina iniziale.

Se visiti, ad esempio, la pagina iniziale di Wikipedia in italiano it.wikipedia.org, un rein­di­riz­za­men­to 301 ti porta di­ret­ta­men­te all’URL https://it.wikipedia.org/wiki/Pagina_principale. Inoltre, i webmaster uti­liz­za­no inoltri per­ma­nen­ti per rein­di­riz­za­re au­to­ma­ti­ca­men­te i vi­si­ta­to­ri sul nuovo indirizzo web dopo un cambio di dominio o per segnalare ap­pro­pria­ta­men­te i contenuti del progetto web che pos­sie­do­no un nuovo URL.

Gli inoltri tem­po­ra­nei 302 hanno, invece, es­sen­zial­men­te, la funzione di pre­sen­ta­re i contenuti tem­po­ra­nei su un altro URL, quando questo, ad esempio, deve rimanere di­spo­ni­bi­le durante le ri­strut­tu­ra­zio­ni alla pagina originale. Se un webmaster genera questo tipo di rein­di­riz­za­men­to ma­nual­men­te, di solito accade perché si ha l’intento di riportare il contenuto sull’URL originale. Tuttavia, ci sono tre scenari per i rein­di­riz­za­men­ti tem­po­ra­nei, che portano all’URL hijacking o che se lo pre­fig­go­no ad­di­rit­tu­ra come obiettivo:

Utilizzo non in­ten­zio­na­le del rein­di­riz­za­men­to 302

È possibile che i webmaster rimandino con un inoltro tem­po­ra­neo a un progetto esterno senza avere cattive in­ten­zio­ni. Si può trattare di una svista, perché in realtà dovrebbe essere impostato un rein­di­riz­za­men­to per­ma­nen­te. Anche il modulo URL di rein­di­riz­za­men­to (Rewrite Engine) del server web Apache, mod_rewrite, configura per im­po­sta­zio­ne pre­de­fi­ni­ta inoltri con il codice di stato 302.

URL generati di­na­mi­ca­men­te

PHP è un com­po­nen­te im­pre­scin­di­bi­le dello sviluppo web. Gli script lato server in questo popolare lin­guag­gio di pro­gram­ma­zio­ne sono una via pratica e facile per generare contenuti dinamici per il proprio sito. Spesso sono però anche gli script PHP che integrano di­na­mi­ca­men­te gli indirizzi di de­sti­na­zio­ne in un URL esistente e uti­liz­za­no perciò il codice di stato 302 per gli inoltri tem­po­ra­nei. Questo tipo di script viene so­prat­tut­to uti­liz­za­to nelle directory per gli indirizzi web, ma anche in molti CMS.

URL hijacking causati vo­lon­ta­ria­men­te

Anche ai criminali è noto il fenomeno del di­rot­ta­men­to dell’URL, che sfruttano spesso e vo­len­tie­ri a loro favore. Così uti­liz­za­no i rein­di­riz­za­men­ti 302 con­sa­pe­vol­men­te per ac­ce­le­ra­re l’in­di­ciz­za­zio­ne dei propri contenuti e cercano nel frattempo di “dirottare” le pagine che hanno un ranking par­ti­co­lar­men­te buono. Questo pro­ce­di­men­to non è però né ef­fi­cien­te né legale e ricade nell’ambito della Black Hat SEO.

URL hijacking rispetto ad altri metodi di attacco

L’URL hijacking viene spesso confuso con altri metodi di attacco come il domain hijacking o il ty­po­squat­ting. Tuttavia, si tratta di attacchi diversi che possono essere uti­liz­za­ti per dan­neg­gia­re l’utente o il po­si­zio­na­men­to del sito web sui motori di ricerca.

URL hijacking e domain hijacking

Sebbene sia l’URL hijacking che il domain hijacking siano uti­liz­za­ti con l’obiettivo di ottenere il controllo di un sito web, i due metodi di attacco dif­fe­ri­sco­no in par­ti­co­la­re per l’approccio: nel domain hijacking, gli ag­gres­so­ri mirano a ottenere il controllo di un dominio accedendo ai relativi account di am­mi­ni­stra­zio­ne. A tal fine, vengono mo­di­fi­ca­te, ad esempio, le im­po­sta­zio­ni DNS. In questo modo, gli ag­gres­so­ri possono, nel peggiore dei casi, assumere il controllo di tutto il sito web della vittima.

URL hijacking e ty­po­squat­ting

Come sug­ge­ri­sce il nome, la tecnica di attacco del ty­po­squat­ting sfrutta spe­ci­fi­ca­men­te i refusi. Si ricorre al ty­po­squat­ting in quei casi in cui nor­mal­men­te si uti­liz­za­no i rein­di­riz­za­men­ti per rag­giun­ge­re il sito web de­si­de­ra­to nel caso di piccoli errori di battitura: gli ag­gres­so­ri re­gi­stra­no domini con tipici errori di battitura per in­di­riz­za­re i vi­si­ta­to­ri e le vi­si­ta­tri­ci al loro sito web, che spesso contiene codice dannoso.

Come pro­teg­ge­re il tuo progetto web dall’URL hijacking

Tutti quelli che sono impegnati a mi­glio­ra­re il ranking delle loro pagine web sanno quanto sia im­pe­gna­ti­va e quanto tempo richieda questa impresa. Più si scalano posizioni sui motori di ricerca, più un possibile di­rot­ta­men­to delle pagine in­di­ciz­za­te avrà delle gravi ri­per­cus­sio­ni. A dif­fe­ren­za di un attacco che avviene per via di una vul­ne­ra­bi­li­tà del tuo progetto web, il pro­ce­di­men­to dell’URL hijacking è stret­ta­men­te connesso a una delle di­sci­pli­ne classiche della SEO, la link building e perciò non è affatto facile evitarlo ri­cor­ren­do a software per la sicurezza.

Di con­se­guen­za è ob­bli­ga­to­rio ana­liz­za­re re­go­lar­men­te i backlink nuovi e quelli già esistenti, per in­di­vi­dua­re eventuali URL pro­ble­ma­ti­ci. A questo scopo esistono in­nu­me­re­vo­li strumenti e servizi come quelli pre­sen­ta­ti qui di seguito:

• SEMrush
• Lin­kRe­sear­ch­Tools,
• SISTRIX
• Google Search Console.

L’ultimo servizio nominato di Google ti offre inoltre uno strumento per rimuovere gli URL, così da eliminare dall’indice di ricerca gli inoltri in­de­si­de­ra­ti che rimandano alla tua offerta web. Prima dovresti, tuttavia, con­tat­ta­re il webmaster re­spon­sa­bi­le e pregarlo di sistemare l’inoltro, così rimane la pos­si­bi­li­tà di poter mantenere i ri­spet­ti­vi backlink. Con il codice di stato 307 (Temporary Redirect), a partire da HTTP 1.1, c’è persino l’opzione per gli inoltri tem­po­ra­nei che non com­por­ta­no l’URL hijacking.

Se la pagina originale è già scomparsa dall’indice, dopo la si­ste­ma­zio­ne o la rimozione del backlink dannoso, dovresti con­tat­ta­re il motore di ricerca e ri­chie­de­re un ri­pri­sti­no del ranking ori­gi­na­rio.