HTTP-метод TRACE

Отвечает ли сервер на TRACE, возвращая запрос обратно. Метод не нужен никому, а скрипт, которого заставили его отправить, прочитает приложенные браузером куки.

• Помощь

TRACE — отладочный HTTP-метод: сервер возвращает полученный запрос в теле ответа целиком, вместе с заголовками. Обычному сайту он не нужен. Риск называется cross-site tracing: если скрипту удастся отправить TRACE-запрос, в эхе окажутся куки и заголовок Authorization, приложенные браузером, — включая куки с флагом HttpOnly, которые скриптам читать не положено. Современные браузеры не дают скриптам отправлять TRACE, но прокси, плагины и другие клиенты — не всегда, а открытый метод к тому же подсказывает сканерам, что конфигурацию сервера никто не пересматривал.

Как SiteScan это проверяет

Сканер отправляет на главную один TRACE-запрос. Если сервер отвечает 200 с типом message/http — настоящее эхо, — строка показывает красное «Отвечает». Любой другой ответ, например 405 Method Not Allowed, — зелёное «Отклоняется».

Как отключить

• Apache: TraceEnable off в основной конфигурации.
• nginx TRACE не поддерживает и отклоняет его по умолчанию; если ответ всё же есть, эхо приходит от бэкенда или прокси за ним.
• IIS: запретите глагол TRACE в фильтрации запросов (Request Filtering).
• На CDN или балансировщике блокируйте все методы, кроме GET, HEAD, POST и нужных вашему API.

Другие меры — на странице о заголовках безопасности.