Instalar o Filtro de Página num domínio

Criar o subdomínio da origem

Na sua hospedagem, crie um subdomínio origem apontando para a mesma pasta do site que já existe — não deixe criar pasta nova. Na Hostinger: Domínios → Subdomínios, marcando “Usar diretório public_html”.

Depois de criar, abra origem.seudominio.com no navegador. Tem que aparecer o seu site normalmente.

Ajustar o WordPress

Só se o site for WordPress. Ele guarda o próprio endereço no banco e monta todos os links a partir dele — sem este ajuste a página abre pelo domínio público, mas o código-fonte entrega o endereço da origem.

No wp-config.php, logo acima da linha /* That's all, stop editing! */:

$guard_host = $_SERVER['HTTP_X_GUARD_HOST'] ?? '';
if ($guard_host && preg_match('/^[a-z0-9.-]+$/i', $guard_host)) {
    $_SERVER['HTTP_HOST'] = $guard_host;
    define('WP_HOME',    'https://' . $guard_host);
    define('WP_SITEURL', 'https://' . $guard_host);
    define('DISABLE_WP_CRON', true);
}

Cadastrar o site no painel

No StegoAudio, aba Filtro de Página, crie um site novo:

Apontar o DNS

Depois de salvar, o painel mostra o bloco Domínios na borda com os registros a criar. Copie os valores daquela tela, naquele momento — eles mudam toda vez que o domínio é registrado de novo.

Se o nome promo já tiver registros A ou AAAA, apague antes: um CNAME não pode conviver com eles. Se o subdomínio existir na hospedagem, remova lá também, senão ela recria os registros.

O painel passa a mostrar ATIVO em poucos minutos. O certificado sai em seguida.

Trancar as páginas de oferta

Este passo é o que faz o filtro valer alguma coisa. Sem ele, qualquer um digita o endereço e vê a página real — e nada do resto importa.

Pegue o segredo do site no painel (botão de copiar, no cadastro) e coloque no .htaccess da pasta do site, antes da linha # BEGIN WordPress:

RewriteEngine On

# 0. Arquivos estáticos passam sempre (imagem/css/js/fonte não são o segredo;
#    travá-los quebra as imagens da página pro visitante anônimo).
RewriteRule \.(jpe?g|png|gif|webp|avif|svg|ico|css|js|mjs|woff2?|ttf|otf|eot|mp4|webm|map)$ - [L]

# 1. Fora estáticos, só a borda (com o segredo) ou o admin logado passam —
#    em QUALQUER endereço (raiz, www, origem, apex).
RewriteCond %{REQUEST_URI} !^/(wp-login\.php|wp-admin) [NC]
RewriteCond %{HTTP_COOKIE} !wordpress_logged_in [NC]
RewriteCond %{HTTP:x-guard-auth} !^SEU_SEGREDO_AQUI$
RewriteRule ^ - [F,L]

# 2. Documento NUNCA cacheia (a CDN guardaria a resposta autorizada e serviria
#    a quem nao traz o segredo); estatico cacheia forte (senao vira 429).
<IfModule mod_headers.c>
  SetEnvIf Request_URI "\.(jpe?g|png|gif|webp|avif|svg|ico|css|js|mjs|woff2?|ttf|otf|eot|mp4|webm|map)$" ESTATICO=1
  Header always set Cache-Control "private, no-store" env=!ESTATICO
  Header always set Cache-Control "public, max-age=31536000, immutable" env=ESTATICO
</IfModule>

Há um lugar para trocar: o SEU_SEGREDO_AQUI pelo segredo do painel. Nenhum endereço para digitar, nenhuma lista de páginas para manter.

O Cache-Control (regra 2) resolve a última parte: sem ele, um CDN no caminho pode guardar a resposta já aprovada e servir para todo mundo. O vazamento aconteceria antes da borda, então ela não teria como impedir.

Se a origem é HTML puro (estático), sem WordPress — .htaccess

Site estático na hospedagem, atrás da Cloudflare, sem WordPress? Use esta versão. Ela não tem as linhas de WordPress (não existe wp-admin nem cookie de login). A regra 2 continua — mas aqui ela precisa separar documento de estático (o motivo está no aviso abaixo). Troque só o SEU_SEGREDO_AQUI pelo segredo do painel:

RewriteEngine On

# 0. Estáticos passam a trava (não são o segredo)
RewriteRule \.(jpe?g|png|gif|webp|avif|svg|ico|css|js|mjs|woff2?|ttf|otf|eot|mp4|webm|map)$ - [L]

# 1. Trava: só a borda (com o segredo) entra; o resto leva 403
RewriteCond %{HTTP:x-guard-auth} !^SEU_SEGREDO_AQUI$
RewriteRule ^ - [F,L]

# 2. Cache: documento NUNCA, estático SEMPRE.
<IfModule mod_headers.c>
  SetEnvIf Request_URI "\.(jpe?g|png|gif|webp|avif|svg|ico|css|js|mjs|woff2?|ttf|otf|eot|mp4|webm|map)$" ESTATICO=1
  Header always set Cache-Control "private, no-store" env=!ESTATICO
  Header always set Cache-Control "public, max-age=31536000, immutable" env=ESTATICO
</IfModule>

Se a origem roda nginx — não é .htaccess

Peça isto a quem administra o servidor. Vai no bloco server do site (normalmente /etc/nginx/sites-available/SEUDOMINIO), e é a mesma coisa dos outros dois: trava, cache separado, e o 404 de verdade. Troque só o SEU_SEGREDO_AQUI:

# 0. Estaticos passam a trava (nao sao o segredo) e cacheiam forte
location ~* .(jpe?g|png|gif|webp|avif|svg|ico|css|js|mjs|woff2?|ttf|otf|eot|mp4|webm|map)$ {
    add_header Cache-Control "public, max-age=31536000, immutable" always;
    try_files $uri =404;
}

# 1. Trava: so a borda (com o segredo) entra; o resto leva 403.
# 2. Documento NUNCA cacheia.
# 3. Endereco que nao existe responde 404 — e o "=404" no fim que faz isso.
location / {
    if ($http_x_guard_auth != "SEU_SEGREDO_AQUI") { return 403; }
    add_header Cache-Control "private, no-store" always;
    try_files $uri $uri/ =404;
}

Conferir e testar

No painel do site, clique em Conferir instalação. Ele roda oito checagens — todas de coisas que, quando estão erradas, não geram mensagem de erro nenhuma:

• 01A origem recusa quem vem de fora — sem isso o filtro é decorativo
• 02A origem responde para a borda — o segredo está certo dos dois lados
• 03O documento não pode ser guardado em cache público — o vazamento por CDN
• 04O domínio público passa pela borda — um raspador recebe coisa diferente
• 05A validação de certificado passa livre — a renovação não vai quebrar
• 06A borda não atrasa a página — compara com a origem sozinha
• 07A página isca abre direto — sem redirecionamento no caminho
• 08Imagem, CSS e JS podem ser guardados em cache — se estiverem como no-store, sua hospedagem é rebuscada a cada visita e começa a cortar com 429: a página abre só com a cor de fundo

O teste de dez segundos

Com a regra “só quem vem de anúncio” ligada, abra os dois endereços no seu próprio navegador:

https://promo.seudominio.com/paginareal/?gclid=teste   →  página real
https://promo.seudominio.com/paginareal/               →  página isca

Mesmo endereço, e a barra continua mostrando /paginareal/ nos dois casos. É proxy, não redirecionamento — quem foi reprovado não tem como perceber que foi filtrado, e o robô de revisão não vê o destino do anúncio mandando para outro lugar.

Fazer a conversão do Google Ads marcar

Este passo não tem nada a ver com o filtro, mas é onde a campanha silenciosamente deixa de dar retorno: a venda acontece e o Google nunca fica sabendo de qual anúncio ela veio. Sem isso, o Google Ads não tem como otimizar, e você fica olhando uma coluna de conversões zerada com vendas entrando.

Por que quebra

O clique no anúncio chega na sua página com um identificador, o gclid. O Google guarda esse clique num cookie do domínio da sua página. Quando o comprador clica em comprar e vai para o checkout, ele está em outro domínio — que não enxerga esse cookie. Se o gclid não for junto na URL, o checkout não tem como saber de qual anúncio a venda veio, e a conversão fica órfã.

anúncio  →  promo.seudominio.com/oferta/?k=SUACHAVE&gclid=ABC123
                    (o Google guarda o clique aqui)

comprar  →  checkout.plataforma.com/xyz
                    (sem gclid: o checkout está cego)

A correção

Um script que copia os parâmetros da URL para todos os links de saída da página. Cole no <head> da página de oferta:

<script>!function(){document.addEventListener("DOMContentLoaded",function(){
  var q = new URLSearchParams(window.location.search);
  var pular = ["k", "_verificar"];
  document.querySelectorAll("a").forEach(function(a){
    try {
      var u = new URL(a.href);
      q.forEach(function(v,k){
        if (pular.indexOf(k) < 0 && !u.searchParams.has(k)) u.searchParams.set(k, v);
      });
      a.href = u.toString();
    } catch(e) {}
  });
});}()</script>

Opcional: presell nos anúncios

Presell é a página branca de transição entre o anúncio e a oferta: anúncio → presell → oferta. É ela que o moderador vê quando inspeciona o anúncio, então mantenha-a "white" — sem o conteúdo da oferta nela.

A chave não vai no anúncio: o anúncio aponta para a presell, sem chave. A chave vai no botão da presell que leva à oferta:

https://promo.seudominio.com/paginareal/?k=SUA_CHAVE

Só que aí o gclid/fbclid do anúncio fica na presell e some no salto para a oferta — e a trava “só quem vem de anúncio”reprovaria o comprador real. Este script na presell repassa esses parâmetros para o botão (troque o domínio pelo seu de oferta):

<script>
(function () {
  var qs = new URLSearchParams(location.search)
  if (![...qs].length) return
  document.querySelectorAll('a[href]').forEach(function (a) {
    try {
      var u = new URL(a.href, location.href)
      if (u.hostname !== 'promo.seudominio.com') return  // seu domínio de oferta
      qs.forEach(function (v, k) { if (!u.searchParams.has(k)) u.searchParams.set(k, v) })
      a.href = u.toString()
    } catch (e) {}
  })
})()
</script>