Hlavička Server prozrazuje verzi softwaru

Co to je

Webový server posílá v každé odpovědi hlavičku Server a v ní uvádí název softwaru a často i přesnou verzi, například Apache/2.4.25 (Debian). Čteme ji z odpovědi na běžný požadavek, nic jiného neověřujeme.

Je to doporučení, ne akutní díra. Důležitá je verze. Samotný název serveru útočníkovi prozradí jen málo.

Proč je to problém

Útočník podle verze rovnou ví, které známé zranitelnosti zkusit, a nemusí nic zjišťovat.
Hlavička sama web nenapadne. Skrytí verze ho také neopraví: zastaralý server zůstane zastaralý.
Proto berte skrytí jako úklid navíc. Skutečná oprava je aktualizace.

Jak to opravit

1. Aktualizujte

Pokud hlavička ukazuje verzi, která už nedostává bezpečnostní opravy, aktualizujte server. Tohle je hlavní krok.

2. Skryjte verzi

nginx:

# v bloku http (nginx.conf)
server_tokens off;

Apache:

ServerTokens Prod
ServerSignature Off

PHP (hlavička X-Powered-By):

expose_php = Off

IIS: v IIS 10 vypněte hlavičku nastavením removeServerHeader="true" v requestFiltering v web.config.

3. Ověřte

curl -sI https://example.cz/ | grep -i '^server'

Pokud před serverem stojí CDN nebo reverzní proxy, hlavičku může posílat ona. Nastavení hledejte tam.