Hilfe Server-Auskunft: Versionen verstecken

Server-Auskunft: Versionen verstecken

Viele Server schicken mit jeder Seite mit, welche Software in welcher Version läuft, etwa „Apache/2.4.41“ oder „PHP/8.1.2“. Das hilft niemandem außer Angreifern, die nach bekannten Lücken einer Version suchen. Die Angabe lässt sich abschalten. Sie ist kein Fehler, das Abschalten ist eine ruhige Verbesserung. Diese Seite zeigt die fertigen Zeilen zum Kopieren.

Sicherheit deiner Website ansehen

Nutze diese Seite, wenn die Sicherheit deiner Website bei Server-Auskunft eine oder zwei Versionen zeigt. Wir lesen dafür zwei Angaben aus der Antwort deiner Startseite: Server und X-Powered-By. Dauer: fünf Minuten auf dem eigenen Server, im Hosting-Paket hängt es vom Hoster ab.

Auf dem eigenen Server

  1. Als Version zählt bei uns eine Nummer mit Punkt, etwa 2.4.41. Der bloße Name „Apache“ oder „nginx“ ohne Nummer ist in Ordnung und zählt nicht.
  2. Apache: diese zwei Zeilen gehören in die Server-Konfiguration. In der .htaccess ist die erste nicht erlaubt und führt dort zu einem Server-Fehler:
    ServerTokens Prod
ServerSignature Off
  3. nginx: diese Zeile gehört in den http-Block der Konfiguration:
    server_tokens off;
  4. PHP meldet sich über X-Powered-By. Diese Zeile in der php.ini schaltet das ab:
    expose_php = Off
  5. Den Webserver neu laden, bei PHP-FPM auch diesen Dienst. Danach unter Website bei „Sicherheit“ auf „Neu prüfen“ klicken. Die Kachel „Server-Auskunft“ zeigt jetzt 0 Versionen.

Im Hosting-Paket, ohne Zugriff auf den Server

  1. Im Hosting-Paket gehört die Server-Konfiguration dem Hoster. Die Angabe Server kannst du dort nicht selbst ändern. Nennt sie eine Version, bleibt das so, bis der Hoster es umstellt.
  2. Die Angabe X-Powered-By lässt sich oft trotzdem entfernen, mit diesen Zeilen in der Datei .htaccess im Hauptordner der Website:
    <IfModule mod_headers.c>
  Header unset X-Powered-By
  Header always unset X-Powered-By
</IfModule>
  3. Manche Hoster haben dafür auch einen Schalter in den PHP-Einstellungen des Hosting-Panels, er heißt dort expose_php.
  4. Danach „Neu prüfen“. Zeigt die Kachel weiter eine Version, ist es die des Servers. Das darf so stehen bleiben: es ist ein Hinweis, kein Fehler.

Wenn es hakt

Nach dem Eintragen zeigt die Website einen Server-Fehler
Dann steht ServerTokens in der .htaccess, dort ist die Zeile nicht erlaubt. Wieder entfernen, die Website läuft sofort wieder.
Die Zeilen stehen drin, die Prüfung zeigt die Version weiter
Ohne Reload gilt die alte Konfiguration. Und ein Cache oder CDN davor liefert vielleicht noch die alte Antwort: Cache leeren, dann „Neu prüfen“. Wir lesen die Startseite dort, wo sie nach der Weiterleitung wirklich antwortet, also etwa auf www.
X-Powered-By nennt etwas anderes als PHP
Auch andere Software trägt sich dort ein, zum Beispiel ein Framework oder das Hosting-Panel. Wir zählen die Angabe nur, wenn sie eine Versionsnummer enthält. Abschalten lässt sie sich dort, wo sie gesetzt wird, oder mit den Zeilen für die .htaccess.
Macht das die Website sicher?
Nein. Eine versteckte Version schließt keine Lücke, sie erschwert nur die automatische Suche nach alten Versionen. Deshalb führen wir die Server-Auskunft als Hinweis, nicht als Fehler.

Und danach?

Mehr als das Verstecken bringen eine unterstützte PHP-Version und eingespielte Updates.

PHP und Updates

Weitere Anleitungen: Dein erster Bericht · Google Search Console verbinden · WordPress- oder Kirby-Plugin installieren · Bing Webmaster Tools verbinden · Erledigt und Nachprüfen · Die Einstellungen deiner Website · So messen wir · Unsere Prüfung wird blockiert · Schutz-Einstellungen setzen · Absender-Schutz der Mails setzen · Zertifikat prüfen und verlängern · PHP und Updates aktuell halten · Datenexport und Anbieterwechsel