URLs de redirection ouverte : Votre site fait-il l'objet d'un abus ?

Samedi 31 janvier 2009

Personne ne veut de logiciels malveillants ou d’URL de spam insérées sur son domaine, c’est pourquoi nous essayons tous de suivre
de bonnes pratiques de sécurité.
Mais et s’il existait un moyen pour les spammeurs de profiter de votre site sans jamais mettre un
pied virtuel sur votre serveur ? C’est possible, en utilisant abusivement les URL de redirection ouverte.

Les webmestres sont confrontés à de nombreuses situations où il est utile de rediriger les utilisateurs vers une autre page.
Malheureusement, les redirections laissées ouvertes vers n’importe quelle destination arbitraire peuvent faire l’objet d’abus. Il s’agit d’une
forme d’abus particulièrement préjudiciable car elle tire parti de la fonctionnalité de votre site plutôt
que d’exploiter un simple bogue ou une faille de sécurité. Les spammeurs espèrent utiliser votre domaine comme une « page de destination » temporaire
pour inciter les utilisateurs de messagerie, les internautes et les moteurs de recherche à suivre des liens
qui semblent pointer vers votre site, mais qui redirigent en fait vers leur site de spam.

Chez Google, nous travaillons dur pour maintenir les URL abusives hors de notre index, mais il est important que vous
assuriez que votre site n’est pas utilisé de cette manière. Il est probable que vous ne souhaitiez pas que les utilisateurs trouvent
sur votre domaine des URL qui les poussent vers un écran rempli de contenus pornographiques non désirés, de virus et de logiciels malveillants,
ou de tentatives de phishing. Les spammeurs généreront des liens pour faire apparaître les redirections dans les résultats de recherche,
et ces liens proviennent généralement de mauvais voisinages auxquels vous ne souhaitez pas être associé.

Ce type d’abus est devenu relativement courant ces derniers temps, nous avons donc voulu faire passer le mot à vous et
à vos collègues webmestres. Nous donnerons d’abord quelques exemples de redirections qui font l’objet d’un abus actif,
puis nous parlerons de la manière de savoir si votre site est victime d’un abus et de ce qu’il faut faire.

Redirections faisant l’objet d’un abus de la part des spammeurs

Nous avons remarqué que les spammeurs s’en prennent à un large éventail de sites Web, des grandes entreprises connues aux
petites agences gouvernementales locales. La liste ci-dessous est un échantillon des types de redirection que nous avons vu utiliser.
Ce sont toutes des techniques parfaitement légitimes, mais si elles sont utilisées sur votre site, vous devez surveiller les abus.

• Les scripts qui redirigent les utilisateurs vers un fichier sur le serveur—tel qu’un document PDF—peuvent parfois
  être vulnérables. Si vous utilisez un système de gestion de contenu (CMS) qui vous permet de télécharger des fichiers,
  vous voudrez peut-être vous assurer que les liens vont directement au fichier, plutôt que de passer par
  une redirection. Cela inclut toutes les redirections que vous pourriez avoir dans la section de téléchargement de votre site.
  Attention aux liens de ce type :
  example.com/go.php?url=example.com/ie/ie40/download/
• Les pages de résultats de recherche interne du site ont parfois des options de redirection automatique qui pourraient
  être vulnérables. Recherchez des schémas comme celui-ci, où les utilisateurs sont automatiquement envoyés vers n’importe quelle page après le url= paramètre :
  example.com/search?q=user+search+keywords&url=
• Les systèmes pour suivre les clics pour les programmes d’affiliation, les programmes publicitaires ou les statistiques du site peuvent également être ouverts. Voici quelques exemples d’URL :
• Les sites proxy, bien que techniquement pas toujours des redirections, sont conçus pour envoyer les utilisateurs vers d’autres sites et peuvent donc être vulnérables à cet abus. Cela inclut ceux utilisés par les écoles et les bibliothèques. Par exemple :
  proxy.example.com/?url=
• Dans certains cas, les pages de connexion redirigeront les utilisateurs vers la page à laquelle ils essayaient d’accéder. Faites attention aux paramètres d’URL de ce type :
  example.com/login?url=
• Les scripts qui affichent une page interstitielle lorsque les utilisateurs quittent un site , peuvent être abusés. De nombreux sites Web éducatifs, gouvernementaux et de grandes entreprises le font pour informer les utilisateurs que
  les informations trouvées sur les liens sortants ne sont pas sous leur contrôle. Recherchez les URL suivant des schémas tels que :

Mon site fait-il l’objet d’un abus ?

Même si aucun des schémas ci-dessus ne vous semble familier, votre site peut comporter des redirections ouvertes à surveiller.
Il existe un certain nombre de façons de voir si vous êtes vulnérable, même si vous n’êtes pas vous-même développeur.

• Vérifiez si les URL abusives apparaissent dans Google. Essayez une
  site: recherche
  sur votre site pour voir si quelque chose d’inconnu apparaît dans les résultats de Google pour votre site.
  Vous pouvez ajouter des mots à la requête qui ont peu de chances d’apparaître dans votre contenu, tels que des termes commerciaux ou
  un langage pour adultes. Si la requête [site:example.com viagra] n’est pas censée renvoyer de pages sur votre site et qu’elle le fait, cela pourrait être un problème.
  Vous pouvez même automatiser ces recherches avec
  Google Alerts.
• Vous pouvez également surveiller les requêtes étranges qui apparaissent dans la section
  Principales requêtes de recherche
  des Outils pour les webmestres. Si vous avez un site dédié à la généalogie de la petite noblesse terrienne,
  un grand nombre de requêtes pour du porno, des pilules ou des casinos pourrait être un signal d’alarme. D’un autre côté, si
  vous avez un site d’information sur les médicaments, vous ne vous attendez peut-être pas à voir des célébrités dans vos principales requêtes.
  Surveillez le Centre de messages dans les Outils pour les webmestres pour tout message de Google.
• Vérifiez les journaux de votre serveur ou votre package d’analyse Web pour les paramètres d’URL inconnus (comme
  =http: ou =//) ou les pics de trafic vers les URL de redirection sur votre site.
  Vous pouvez également vérifier les pages avec des liens externes dans les Outils pour les webmestres.
• Surveillez les plaintes des utilisateurs concernant du contenu ou des logiciels malveillants dont vous savez pertinemment qu’ils ne se trouvent pas sur votre site.
  Vos utilisateurs ont peut-être vu votre domaine dans l’URL avant d’être redirigés et ont supposé qu’ils étaient toujours sur votre site.

Ce que vous pouvez faire

Malheureusement, il n’y a pas un moyen simple de s’assurer que vos redirections ne sont pas exploitées.
Une redirection ouverte n’est pas un bogue ou une faille de sécurité en soi — pour certains usages, elles doivent rester assez ouvertes.
Mais il y a quelques choses que vous pouvez faire pour empêcher que vos redirections ne fassent l’objet d’un abus ou au moins pour les rendre moins attrayantes.
Certaines de ces choses ne sont pas triviales ; vous devrez peut-être écrire du code personnalisé ou parler à votre fournisseur de la publication d’un correctif.

• Modifiez le code de redirection pour vérifier le referer, car dans la plupart des cas, toute personne arrivant sur votre script de redirection de manière légitime devrait provenir de votre site, et non d’un moteur de recherche ou d’ailleurs.
  Vous devrez peut-être être indulgent, car les navigateurs de certains utilisateurs peuvent ne pas signaler de referer, mais si vous savez qu’un utilisateur provient d’un site externe, vous pouvez l’arrêter ou l’avertir.
• Si votre script ne doit envoyer les utilisateurs que vers une page ou un fichier interne (par exemple, sur une page
  avec des téléchargements de fichiers), vous devez interdire spécifiquement les redirections hors site.
• Envisagez d’utiliser une allowlist de destinations sûres. Dans ce cas, votre code conserverait un enregistrement de tous les liens sortants, puis vérifierait que la redirection est une destination légitime avant de transférer l’utilisateur.
• Envisagez de signer vos redirections, Si votre site Web a un réel besoin de fournir des redirections d’URL, vous pouvez
  hacher correctement
  l’URL de destination, puis inclure cette signature cryptographique comme un autre paramètre lors
  de la redirection. Cela permet à votre propre site d’effectuer une redirection d’URL sans ouvrir votre
  redirection d’URL au grand public.
• Si votre site ne l’utilise vraiment pas, il suffit de désactiver ou supprimer la redirection. Nous avons remarqué un grand nombre de sites où la seule utilisation de la redirection est le fait de spammeurs — c’est probablement juste une fonctionnalité laissée activée par défaut.
• Utilisez robots.txt pour exclure les moteurs de recherche
  des scripts de redirection sur votre site. Cela ne résoudra pas complètement le problème, car les attaquants
  pourraient toujours utiliser votre domaine dans les spams par e-mail. Cependant, votre site sera moins attrayant pour les attaquants,
  et les utilisateurs ne se feront pas piéger par les résultats de recherche Web. Si vos scripts de redirection résident dans
  un sous-dossier avec d’autres scripts qui n’ont pas besoin d’apparaître dans les résultats de recherche, exclure l’ensemble
  du sous-dossier peut même rendre plus difficile pour les spammeurs de trouver des scripts de redirection en premier lieu.
• Vous pouvez également utiliser les Outils pour les webmestres pour
  supprimer des URL. Il est probable que les spammeurs aient également piraté et abusé d’autres sites pour générer des liens vers la section
  spammée de votre site. Si vous voyez des sites suspects ou
  des forums spammés
  qui font des liens, vous pouvez
  nous les signaler,
  de préférence avec le
  formulaire de signalement de spam vérifié dans les Outils pour les webmestres.

L’abus de redirection ouverte est un gros problème en ce moment, mais nous pensons que plus les webmestres le savent,
plus il sera difficile pour les individus mal intentionnés de profiter des sites imprudents. N’hésitez pas à laisser des conseils utiles dans les commentaires ci-dessous ou à en discuter dans notre
Webmaster Help Forum.

Écrit par Jason Morrison, Search Quality Team