Qui arriba des de cerca és redirigit mentre la visita directa funciona. Un .htaccess infectat pot comprovar referrer, agent, ruta o galeta abans d’enviar trànsit seleccionat.
També conté enllaços permanents, HTTPS, seguretat i memòria cau legítims. Conserva’l i anota’l abans de substituir-lo.
Captura el fitxer i el desencadenant
Copia .htaccess amb metadades i hash. Registra URL, referrer, agent, hora i destinació.
Cerca altres .htaccess en directoris pare i carpetes imbricades d’uploads o memòria cau. Apache aplica regles al llarg de la ruta.
No obris la destinació maliciosa; conserva-la com a text.
Llegeix les condicions com un grup
Les regles depenen de les condicions anteriors. Cerca HTTP_REFERER, HTTP_USER_AGENT, paràmetres, galetes i dominis desconeguts.
No enganxis o publiquis regles malicioses per provar-les. Analitza sense connexió i contrasta amb els requisits de la web.
Cadenes codificades, línies extenses i regles anteriors als marcadors de WordPress mereixen revisió, no esborrament automàtic.
Documenta per a cada RewriteCond si es combina amb AND o OR i quina regla governa. Llegir una condició aïllada pot portar a esborrar una excepció legítima o passar per alt que la destinació només s’activa amb diversos senyals simultanis.
Compara amb la referència legítima
Obté una versió fiable des de desplegaments o còpies. El bloc estàndard és curt, però hosting, memòria cau i seguretat afegeixen seccions vàlides.
Assigna propietari a cada bloc no estàndard. Els marcadors generats solen identificar el connector.
No deixis només el bloc genèric si hi ha idiomes, rutes protegides o memòria cau del servidor.
Prova la configuració abans
Utilitza el comprovador del hosting o staging. Un error de sintaxi pot retornar 500 a tota la web.
Aplica el fitxer net de forma controlada amb reversió immediata. Corregeix propietari i permisos sense fer-lo escrivible per tothom.
En Nginx pur es pot ignorar; revisa servidor, CDN i PHP.
Prova a staging URL existents, inexistents, assets, administració i variants amb barra final. Verifica bucles, codis i capçalera Location. Una regla neta que corregeix el malware però trenca REST, webhooks o fitxers estàtics encara no és acceptable.
Troba el procés que el reescriu
Si torna, relaciona l’hora amb peticions, cron, ajustos de connectors, SFTP i panell. Cerca el domini i escriptures a .htaccess a la còpia.
Inspecciona PHP arrel, portes posteriors, mu-plugins, uploads i webs veïnes. Un connector de memòria cau pot reescriure seccions legítimes en desar, per tant diferencia’n la sortida.
Una auditoria estreta pot capturar l’escriptor en un VPS autoritzat.
Revisa CDN i hosting
Redirect Rules, Workers de Cloudflare, panell i DNS poden reproduir el símptoma amb .htaccess net.
Exporta configuracions i revisa usuaris i sessions. No esborris regles abans de conservar evidència.
Prova origen i ruta pública per separat amb mètodes autoritzats.
Inspecciona també configuració heretada sobre l’arrel. Un .htaccess pare o include del virtual host pot afectar diversos directoris i ser invisible per a WordPress.
Demana al proveïdor que preservi aquestes capes si no hi tens accés. No intentis compensar una regla pare desconeguda amb directives cada vegada més complexes.
Compara el resultat mitjançant una petició autoritzada amb i sense referrer de cerca, sense seguir la destinació. Registra el primer codi i Location; seguir tota la cadena podria portar la prova fins a infraestructura nociva i ocultar quina capa va originar el salt.
Verifica recorreguts directes i de cerca
Després de netejar i tancar l’entrada, prova visita directa i des de cerca aïllada, mòbil i escriptori. Confirma que canonical i HTTPS legítims continuen funcionant.
Monitoritza el hash durant desaments de connectors i tasques. Cerca als registres peticions que segueixin el patró anterior.
Repeteix després de desar enllaços permanents i d’una purga normal de memòria cau, perquè WordPress o un connector poden regenerar el fitxer. La referència final ha d’incloure les seccions legítimes que el sistema torna a escriure.
Quan demanar ajuda especialitzada
Demana ajuda si les regles tornen, intervenen diversos nivells o el hosting i CDN també redirigeixen. Envia domini i condicions censurades com a text, no accessos.
La reparació ha de preservar rutes vàlides, eliminar la redirecció selectiva i identificar qui pot modificar la configuració.