Metoda HTTP TRACE

Czy serwer odpowiada na TRACE, odsyłając żądanie. Metoda nie jest nikomu potrzebna, a skrypt zmuszony do jej wysłania odczyta dołączone ciasteczka.

• Pomoc

TRACE to diagnostyczna metoda HTTP: serwer odsyła otrzymane żądanie w treści odpowiedzi, razem z nagłówkami. Zwykła witryna jej nie potrzebuje. Ryzyko nosi nazwę cross-site tracing: jeśli skrypt zdoła wysłać żądanie TRACE, w echu znajdą się ciasteczka i nagłówek Authorization dołączone przez przeglądarkę — także ciasteczka z flagą HttpOnly, których skrypty normalnie nie mogą czytać. Nowoczesne przeglądarki blokują TRACE ze skryptów, ale proxy, wtyczki i inne klienty nie zawsze, a otwarta metoda podpowiada skanerom, że nikt nie przeglądał konfiguracji serwera.

Jak sprawdza to SiteScan

Skaner wysyła jedno żądanie TRACE na stronę główną. Jeśli serwer odpowie 200 z typem message/http — prawdziwym echem — wiersz pokazuje czerwone „Odpowiada”. Każda inna odpowiedź, np. 405 Method Not Allowed, to zielone „Odrzucana”.

Jak ją wyłączyć

• Apache: TraceEnable off w głównej konfiguracji.
• nginx nie obsługuje TRACE i domyślnie go odrzuca; jeśli odpowiedź jest, echo pochodzi od backendu lub proxy za nim.
• IIS: zablokuj czasownik TRACE w filtrowaniu żądań (Request Filtering).
• Na CDN lub load balancerze blokuj metody inne niż GET, HEAD, POST i te, których wymaga twoje API.

Inne kroki opisuje strona o nagłówkach bezpieczeństwa.