Der Server-Header verrät die Softwareversion

Worum es geht

Der Webserver sendet in jeder Antwort einen Server-Header und nennt darin seine Software, oft mit der genauen Version, zum Beispiel Apache/2.4.25 (Debian). Wir lesen ihn aus der Antwort auf eine gewöhnliche Anfrage und prüfen sonst nichts.

Das ist eine Empfehlung, keine akute Lücke. Entscheidend ist die Version. Der bloße Servername verrät einem Angreifer wenig.

Warum das ein Problem ist

An der Version erkennt ein Angreifer sofort, welche bekannten Schwachstellen er versuchen kann, ganz ohne Sondierung.
Der Header greift Ihre Website nicht von selbst an. Die Version zu verbergen behebt auch nichts: Ein veralteter Server bleibt veraltet.
Sehen Sie das Verbergen daher als zusätzliches Aufräumen. Die eigentliche Lösung ist das Update.

Wie Sie es beheben

1. Aktualisieren

Zeigt der Header eine Version, die keine Sicherheitskorrekturen mehr erhält, aktualisieren Sie den Server. Das ist der Hauptschritt.

2. Version verbergen

nginx:

# im http-Block (nginx.conf)
server_tokens off;

Apache:

ServerTokens Prod
ServerSignature Off

PHP (der Header X-Powered-By):

expose_php = Off

IIS: Bei IIS 10 schalten Sie den Header ab, indem Sie in der web.config unter requestFiltering den Wert removeServerHeader="true" setzen.

3. Prüfen

curl -sI https://example.cz/ | grep -i '^server'

Steht ein CDN oder Reverse-Proxy vor dem Server, sendet womöglich er den Header. Suchen Sie die Einstellung dort.