Stručně: Když web přesměrovává na cizí stránky, příčina je v jedné ze šesti vrstev: DNS, CDN nebo proxy, konfigurace webového serveru, kód PHP, databáze nebo vložené skripty. Protože mnoho přesměrování se spustí jen za určitých podmínek, testujte cíleně s různými identifikacemi a zdrojovými stránkami. Nejprve chraňte návštěvníky, zajistěte stopy a po odstranění uzavřete vstupní bránu.
Když zákazníci končí na soutěžních stránkách
Hlášení obvykle přijde zvenčí. Zákazník napíše, že po otevření vaší stránky skončil na soutěži nebo pochybném e-shopu. Zkusíte to na vlastním počítači a všechno vypadá normálně. To není rozpor, ale záměr: přesměrování po hacku jsou postavena tak, aby si jich provozovatelé všimli co nejpozději.
Pro vaši firmu je to choulostivé. Návštěvníci ztrácejí důvěru, vyhledávače a prohlížeče mohou zobrazit varování a na cílových stránkách někdy čeká podvod nebo škodlivý software. Přesměrování je navíc téměř nikdy to jediné, co útočník zanechá.
Po PHP2Shell, tedy zranitelnostech CVE-2026-109618 a CVE-2026-109619 se spuštěním kódu bez přihlášení, patří přesměrování mezi viditelné následky, které by provozovatelé měli brát vážně. Není to specifický příznak PHP2Shell, protože potvrzené indikátory kompromitace (Indicators of Compromise) neexistují. Ukazuje to ale, že někdo mohl měnit obsah vašeho webu.
Přesměrování často nechodí samo. Kdo návštěvníky přesměrovává, často navíc vytváří spamové stránky pro vyhledávače, aby zachytil ještě více provozu. Pokud Google již zobrazuje upozornění na napadený web, popisuje postup ověření průvodce Odstranění varování Google. Cizími stránkami ve vyhledávacím indexu se zabývá článek SEO spam a cizí stránky v indexu Google.
Proč web přesměrovává jen někdy
Podmíněná přesměrování vyhodnocují vlastnosti požadavku. Často jsou to tyto:
- Původ: Přesměrován je jen ten, kdo přichází z výsledku vyhledávání. Přímá volání ukážou normální stránku.
- Zařízení: Postižena jsou jen mobilní zařízení nebo určité prohlížeče.
- Opakování: Přesměrování se spustí jednou na návštěvníka, poté nastaví cookie a mlčí.
- Přihlášení: Kdo je přihlášen v CMS, nikdy nic neuvidí.
- Čas nebo náhoda: Přesměrování se spustí jen u části volání.
Netestujte proto jen na pracovišti. Čtecím dotazem uvidíte, jak server odpovídá na různá volání:
# Normální volání: stavový kód a cíl možného přesměrování
curl -s -o /dev/null -w '%{http_code} %{redirect_url}\n' https://www.ihre-domain.de/
# Volání jako z mobilního zařízení, které přichází z vyhledávání
curl -s -o /dev/null -w '%{http_code} %{redirect_url}\n' \
-A "Mozilla/5.0 (iPhone; CPU iPhone OS 17_0 like Mac OS X) AppleWebKit/605.1.15 Mobile/15E148" \
-e "https://www.google.com/" https://www.ihre-domain.de/
Pokud se cizí cíl objeví jen u druhého dotazu, přesměrování sídlí na serveru. Pokud jsou oba dotazy nenápadné, může k přesměrování docházet v prohlížeči pomocí JavaScriptu. Pak pomůže pohled do zdrojového kódu doručené stránky nebo do síťového zobrazení vývojářských nástrojů v prohlížeči, nejlépe v soukromém okně.
Web přesměrovává: zkontrolujte šest vrstev
Postupujte zvenčí dovnitř. Vyhnete se tak hodinám hledání v kódu, zatímco příčina leží v záznamu DNS:
| Vrstva | Typická příčina | Kontrola |
|---|---|---|
| Doména a DNS | změněný záznam A nebo jmenný server | porovnat záznamy DNS se známým správným stavem, zkontrolovat přístup k registrátorovi |
| CDN nebo proxy | cizí pravidlo pro přesměrování nebo stránku | projít pravidla v zákaznické sekci poskytovatele |
| Webový server | pravidla v .htaccess nebo konfiguraci serveru |
hledat pravidla Rewrite a Redirect s podmínkami |
| Kód PHP | další kód ve vstupních souborech, šablonách nebo rozšířeních | porovnat jádrové soubory s originálem |
| Databáze | změněná nastavení adres, skripty v obsahu nebo volbách | cíleně hledat cizí adresy a skripty |
| Externí skripty | napadené vložení od třetí strany | vypsat a posoudit zdroje vložených skriptů |
Vnější vrstvy se rády přeskakují, protože neleží na vlastním serveru. Právě proto jsou nebezpečné: kdo převzal účet u registrátora nebo poskytovatele CDN, nepotřebuje přístup k serveru. Zkontrolujte tam kromě pravidel i to, kdo má přístup a zda je aktivní dvoufázové ověření.
Pro vrstvu webového serveru se hodí čtecí hledání pravidel, která reagují na původ nebo zařízení:
# Pravidla přesměrování s podmínkami ve všech souborech .htaccess
grep -rn --include='.htaccess' -iE 'Rewrite(Cond|Rule)|Redirect' /var/www/ihre-website
# Přesměrování v konfiguraci serveru (Apache a Nginx)
grep -rn -iE 'Rewrite|Redirect|return 30[12]' /etc/apache2/ /etc/nginx/ 2>/dev/null
Pro vrstvu PHP popisuje postup článek Porovnání jádrových souborů CMS s originálem. Pro databázi se vyplatí článek Kontrola databáze na vložený kód.
Když příčina leží mimo server
Ne každé přesměrování znamená napadený server. Vložené skripty třetích stran, například pro chat, statistiky nebo reklamu, se spouštějí přímo v prohlížeči návštěvníků. Pokud je takový poskytovatel napaden nebo vyprší doména, ze které vaše stránka stále načítá skript, může přesměrování vzniknout, aniž by se na vašem serveru změnil jediný soubor.
Content Security Policy omezuje, z jakých zdrojů smí prohlížeč načítat skripty, a takové případy zviditelní. Upozornění najdete v článku Bezpečnostní hlavičky pro weby. Velmi zřídka je příčina u samotného návštěvníka: reklamní nebo škodlivý software v jeho počítači pak přesměrovává i na jiných webech.
Správné pořadí po nálezu
- Chraňte návštěvníky: Přepněte web do režimu údržby nebo zablokujte dotčené oblasti.
- Zajistěte stopy: Podezřelá pravidla, soubory a obsah databáze zkopírujte s časovým razítkem dříve, než je odstraníte.
- Odstraňte: Přesměrování odstraňte a jádrové soubory nahraďte z čistého zdroje.
- Uzavřete vstupní bránu: Dostaňte PHP na opravený stav, aktualizujte CMS a rozšíření, restartujte všechny workery a obnovte přístupy.
- Znovu otestujte: Znovu zkontrolujte všemi variantami z druhého oddílu a sledujte Search Console.
Odstraněné pravidlo přesměrování není důkazem čistého webu. Pokud se pravidlo po několika dnech vrátí, sedí někde ještě zadní vrátka, která ho znovu zapisují.
Jak konkrétně pomáhá PHP SOS?
- Přesměrování reprodukujeme s různými identifikacemi a zdrojovými stránkami a vymezíme vrstvu, kde sídlí.
- Zajistíme stopy a odstraníme přesměrování, škodlivý kód a zadní vrátka v souborech, konfiguraci a databázi.
- Při akutním napadení převezme omezení škod naše nouzová pomoc při napadených webech, dokud není incident uzavřen a zdokumentován.
- Zkontrolujeme vložené skripty třetích stran a doporučíme vhodnou Content Security Policy.
Časté dotazy
Proč přesměrování sám nevidím?
Mnoho přesměrování se spustí jen za určitých podmínek: pro návštěvníky z vyhledávání Google, jen na mobilních zařízeních, jen při první návštěvě nebo ne pro přihlášené administrátory. Testujte proto na různých zařízeních, bez přihlášení a přes odkaz z výsledků vyhledávání.
Může přesměrování vzniknout i bez hacku?
Ano. Podobné účinky může mít prošlý plugin, napadený externí skript, chybné záznamy DNS nebo škodlivý software v počítači návštěvníka. Pokud je příčina ve vlastním počítači, objevuje se přesměrování zpravidla i na jiných webech.
Kam útočníci přesměrování nejčastěji schovávají?
Typicky jde o pravidla v .htaccess nebo v konfiguraci serveru, další kód ve vstupních souborech aplikace, změněná nastavení adres v databázi a vložené úryvky JavaScriptu v obsahu nebo šablonách.
Co mám udělat hned, když můj web přesměrovává?
Chraňte návštěvníky, například režimem údržby, a zajistěte stopy dříve, než cokoli smažete. Poté hledejte příčinu vrstvu po vrstvě a uzavřete vstupní bránu. Odstraněné pravidlo bez uzavřené zranitelnosti se zpravidla vrací.