Softwareversionen in Server-Headern

Antwort-Header, die genaue Softwareversionen veröffentlichen. Sie verraten, welche bekannten Lücken zuerst zu probieren sind, und ihr Abschalten kostet nichts.

• Hilfe

Viele Server stellen sich in ihren Antwort-Headern vor: Server: Apache/2.4.41 (Ubuntu), X-Powered-By: PHP/7.4.3. Die genaue Versionsnummer nützt Ihren Besuchern nichts, ist aber das Erste, was automatisierte Angriffswerkzeuge lesen: Eine Version führt direkt zu einer Liste bekannter Schwachstellen, und eine Website mit alter Version wird genau für diese Exploits ausgewählt. Das Verbergen behebt nichts, nimmt aber einen kostenlosen Hinweis weg und macht Sie zu einem weniger offensichtlichen Ziel.

So prüft SiteScan

Der Scanner liest vier Header der Startseite – Server, X-Powered-By, X-AspNet-Version und X-Generator – und markiert diejenigen, die eine Versionsnummer enthalten. Reine Produktnamen wie Server: nginx sind unbedenklich. Wird eine Version gefunden, listet die Zeile die Werte und ist gelb; sonst zeigt sie „Keine“.

So schalten Sie sie ab

• nginx: server_tokens off;
• Apache: ServerTokens Prod und ServerSignature Off
• PHP: expose_php = Off in der php.ini
• ASP.NET: <httpRuntime enableVersionHeader="false" /> in der web.config, X-Powered-By im IIS entfernen
• Generator-Angaben eines CMS entfernt meist ein Plugin oder eine Theme-Einstellung.

Am wichtigsten bleibt aber, die Software aktuell zu halten. Siehe auch die Gruppe „Offenliegende Dateien“.