Версии ПО в заголовках сервера

Заголовки ответа, публикующие точные версии software. Они подсказывают, какие известные уязвимости пробовать первыми, а выключаются бесплатно.

• Помощь

Многие серверы представляются в заголовках ответа: Server: Apache/2.4.41 (Ubuntu), X-Powered-By: PHP/7.4.3. Точный номер версии посетителям ни к чему, зато автоматические инструменты атаки читают его первым: версия прямо указывает на список известных уязвимостей, и сайт со старой версией выбирают именно под эти эксплойты. Скрытие версии ничего не чинит, но убирает бесплатную подсказку и делает вас менее очевидной мишенью.

Как SiteScan это проверяет

Сканер читает четыре заголовка главной страницы — Server, X-Powered-By, X-AspNet-Version и X-Generator — и отмечает те, в которых есть номер версии. Одно название продукта, например Server: nginx, — это нормально. Если версия найдена, строка перечисляет значения и становится жёлтой; иначе показывает «Нет».

Как отключить

• nginx: server_tokens off;
• Apache: ServerTokens Prod и ServerSignature Off
• PHP: expose_php = Off в php.ini
• ASP.NET: <httpRuntime enableVersionHeader="false" /> в web.config, а X-Powered-By уберите в IIS
• Метки generator в CMS обычно убирает плагин или настройка темы.

Но главное по-прежнему — вовремя обновлять ПО. См. также группу «Открытые файлы».