Esse tipo de header
é conhecido como ServerTokens
/ServerSignature
, ele revela informações do servidor como: nome, versão, tecnologia e em alguns casos até o sistema operacional.
O seu header
em especifico (X-Powered-By
) fornece informações da tecnologia que normalmente é ASP.NET
ou PHP
, no seu caso também mostra que esta rodando em um ubuntu
, mas essa informação é bônus já que esta na versão/compilação do php.
Um outro header
que também devemos estar atento é o Server
, ele mostra nome e versão do servidor como Ningx
, Apache
, Microsoft-IIS
.
Você também pode ter esse tipo de informação sendo exibida em telas de erro do servidor como mostrado nesta imagem abaixo de Erro 404
, então depois de remover esse header
vale apena verificar a pagina de erro.
Por que é recomendado remover essa informação?
Como ela revela informações do servidor isso também acaba (quase que sem querer) expondo as vulnerabilidades conhecidas do servidor/sistema/tecnologia, facilitando o trabalho de uma pessoa que esta com a intenção de atacar seu servidor e algumas vezes até atraindo esse tipo de pessoa.
Alguns sites que mostram vulnerabilidades https://nvd.nist.gov, https://www.cvedetails.com, https://www.exploit-db.com
Isso impede alguma tipo de ataque, ou evita "informação privilegiada" ao atacante?
Isso não impede nenhum ataque. Mas um atacante com essas informações pode procurar por vulnerabilidades conhecidas e isso vai facilitar a vida dele e aumentar sua chance de ter sucesso com o ataque.
É possível desativar ou alterar esse cabeçalho pelo .htaccess
?*
Para remover um header
pelo .htaccess
você precisa adicionar o seguinte config Header unset <nome do header>
ou Header always unset <nome do header>
. Nesse caso ficando como mostrado abaixo.
Header always unset X-Powered-By
[nota]
- O mais recomendado é configurar o
php.ini
e o servidor para não retornar essas informações ao cliente.
- Eu não testei esse método, logo não sei se ele consegue remover esse
header
*Pergunta feita no comentário da pergunta por Guilherme Costamilam
Removendo o header X-Powered-By
PHP
No php
você terá que editar o arquivo php.ini
e alterar o valor de expose_php = On
para expose_php = Off
, após alterar não se esqueça de restarta o php
.
outra opção é você remover/alterar a informação pelo seu script php
, como por exemplo colocar um dos comando abaixo na sua index.php
.
header('X-Powered-By: MeuServer');
header_remove( 'X-Powered-By' )
[IMPORTANTE] Se você optar por remover o header dessa forma, ou seja com esse comando acima, você só vai conseguir remover esse header em arquivos que você alterou, isso significa que o servidor vai continuar respondendo esse header, ou seja, a melhor opção é configurar no php.ini
Removendo o header Server
Apache2
No apache2
você consegue desativar esse tipo de header
alterando ou adicionando no final do arquivo apache2.conf
as seguintes configurações
ServerSignature Off
ServerTokens Prod
Após alterar o arquivo de configuração não se esqueça de restartar o serviço do apache2
, para isso você pode utilizar um dos comandos abaixo para linux
.
sudo service apache2 restart
sudo apache2ctl restart
Nginx
No nginx
você vai precisar instalar o nginx-extras
para alterar headers
desse tipo
sudo apt-get install nginx-extras
*Comando de instalação caso você esteja utilizando ubuntu/debian
e adicionar a configuração ao arquivo nginx.conf
dentro de http{
#more_set_headers "Server: MeuServer"; # Modifica o Header Server
more_clear_headers Server; # Remove o Header Server
server_tokens off; # Não retornar versão do nginx e sistema operacional
Após alterar o arquivo não se esqueça de restartar o serviço do nginx
, para isso você pode utilizar o comando do linux
abaixo.
sudo service nginx restart
IIS e ASP.NET
O site abaixo esta em inglês e possui mais informações sobre esses headers e como remover se você estiver utilizando IIS
, ASP.NET
com um tutorial com imagens.
Hardening your HTTP response headers - scotthelme.co.uk
Links úteis
Alguns links úteis que ajudam a analisar as configuração de headers
e de SSL
de seu servidor:
Analise de headers - securityheaders.com
Analise de ssl - ssllabs.com
.htaccess
?