Gli host rotanti sono una tattica dell'infrastruttura dell'attaccante in cui domini, indirizzi IP o server vengono sostituiti frequentemente per mantenere raggiungibile un servizio malevolo. Invece di fare affidamento su un unico sito fisso, l'operatore sposta il traffico tra molti host o riutilizza lo stesso contenuto su una nuova infrastruttura. Questo rende meno efficaci le semplici liste di blocco, le chiusure e le rimozioni di domini, perché i difensori inseguono sempre un bersaglio in movimento.
Nella sicurezza informatica, gli host rotanti sono comuni nei kit di phishing, nei loader di malware, nelle pagine di distribuzione di exploit e nelle configurazioni di comando e controllo. Aiutano gli attaccanti a restare online, distribuire il traffico e riprendersi rapidamente dopo l'esposizione. I difensori cercano modelli che rimangono costanti anche quando l'host cambia, come certificati riutilizzati, modelli di pagina, comportamento DNS o ID di tracciamento condivisi. Il rilevamento spesso dipende da aggiornamenti rapidi della reputazione, sinkholing e monitoraggio di domini appena registrati o di improvvisi cambi di host associati a una campagna.