Webserver erkennen

Die Serversoftware, die geantwortet hat — so, wie sie sich in ihren eigenen Headern nennt.

• Hilfe

Der Webserver ist die Software, die die Verbindung angenommen und die Antwort geschickt hat: nginx, Apache HTTP Server, LiteSpeed, Microsoft IIS, Caddy oder ein Edge-Netzwerk wie Cloudflare oder Amazon CloudFront, das vor der eigentlichen Maschine steht.

Wie SiteScan ihn erkennt

Die Zeile liest den Antwort-Header Server der Einstiegsseite und ordnet ihn einem bekannten Produkt zu, sodass aus Apache/2.4.62 (Debian) „Apache HTTP Server 2.4.62“ wird. Fehlt der Header oder wurde er umgeschrieben, dienen Header als Rückfall, die nur eine Serverfamilie sendet: cf-ray bei Cloudflare, x-litespeed-cache bei LiteSpeed, x-aspnet-version bei IIS. Eine Version erscheint nur, wenn der Server sie selbst nennt — geraten wird nichts. Antwortet ein CDN, sehen Sie dessen Namen, nicht den Server dahinter.

Die Zeile ist rein informativ: grün, wenn ein Name gefunden wurde, grau, wenn der Server schweigt.

Sollten Sie ihn verbergen?

Der Produktname schadet kaum, eine exakte Version verrät Angreifern aber, welche bekannten Lücken sie ausprobieren können. Lassen Sie den Namen ruhig stehen und entfernen Sie die Version: server_tokens off; in nginx, ServerTokens Prod zusammen mit ServerSignature Off in Apache und expose_php = Off gegen X-Powered-By. Vor allem aber: Halten Sie die Software aktuell — eine verborgene Version ersetzt keine Updates. Siehe Server-Banner.