This translation has not been editorially reviewed yet. The German version is authoritative. Deutsche Fassung →
Software-Stand
Co prozradí hlavičky serveru o softwaru vašeho webu?
Hlavičky serveru mohou uvádět názvy a čísla verzí softwaru, který váš web dodává — třeba webového serveru nebo použitého programovacího prostředí. Tyto hlavičky posílá váš server neviditelně s každou odpovědí; kdokoli si je může vyžádat, aniž byste si toho všimli. Kontrolní oblast Stav softwaru hlásí, pokud v nich stojí čísla verzí, protože usnadňují útočníkům přiřazení.
Každá odpověď serveru nese neviditelné hlavičky
Když prohlížeč načte stránku vašeho webu, server odpoví obsahem — a řadou hlaviček, které návštěvník nikdy neuvidí. Řídí technické věci jako ukládání do mezipaměti nebo znakovou sadu. Některé z nich jsou čistá sebeprezentace: hlavička „Server“ často uvádí software webového serveru, „X-Powered-By“ programovací prostředí — ve výchozím nastavení často i s číslem verze. Kontrolní oblast čte hlavičky stejně tak načtené stránky a hlásí každou, která obsahuje číslo verze, s přesným řádkem jako dokladem. Žádný další přístup k vašemu serveru se přitom nekoná.
Čísla verzí v hlavičce jsou čistá nápověda pro útočníky
Kdo chce napadnout web, nejdřív zjišťuje, jaký software tam běží. Uvádějí-li hlavičky verze zadarmo, tato námaha odpadá — přiřazení ke známým slabinám se stává jednoduchým pátráním. I tady kontrola čistě rozlišuje: viditelná hlavička s verzí dokládá viditelnost, ne zranitelnost. Zda uvedená verze softwaru skutečně má využitelnou mezeru, nález neříká, a kontrola to ani nezkoumá. V hodnocení počítá skrytá signatura serveru 20 ze 100 bodů — malý, ale snadno získatelný stavební blok, protože vypnutí obvykle nic nestojí na funkčnosti.
Poskytovatel hostingu nebo agentura signaturu vypne
Sebeprezentaci hlaviček lze v konfiguraci serveru potlačit nebo zkrátit na pouhý název produktu bez verze. U pronajatého webhostingu to zařídí poskytovatel — často stačí krátký dotaz na podporu. Provozuje-li server vaše agentura, patří tento krok do jejich rutiny údržby. Weby u stavebnicových poskytovatelů leží mimo váš vliv; tam odpovídá za péči o server celkově poskytovatel. Důležité zůstává zařazení: skrytí signatury je hygiena, ne štít. Skutečnou bezpečnostní prací je průběžná aktualizace softwaru serveru — ta se děje jen neviditelně, zatímco signatura je to nejviditelnější, co server prozradí.
- Požádejte svého poskytovatele hostingu nebo agenturu, aby vypnuli údaje o verzi v hlavičkách odpovědi.
- Zeptejte se, jaký software serveru váš web dodává a kdo odpovídá za jeho aktualizaci.
- Po každém stěhování serveru nebo větší aktualizaci nechte zkontrolovat, zda hlavičky opět neuvádějí verze — výchozí nastavení se rády vrací.
- Zaznamenejte odpovědnost písemně: péče o server patří do smlouvy o údržbě, ne do ústního pokynu.
FAQ
Co je HTTP hlavička?
Hlavička, kterou si server a prohlížeč při každém načtení stránky vyměňují navíc k obsahu. Hlavičky řídí technické procesy jako ukládání do mezipaměti, přesměrování nebo znakovou sadu. Návštěvníci je nikdy nevidí, ale každý program si je může přečíst. Některé hlavičky obsahují sebeprezentaci serveru — přesně tam mohou stát názvy softwaru a čísla verzí.
Co znamená „X-Powered-By“?
Tato hlavička uvádí programovací prostředí, kterým je web vytvářen, ve výchozím nastavení často i s číslem verze. Pro provoz webu je údaj bez užitku — žádný prohlížeč ho nepotřebuje. Lze ho v konfiguraci serveru vypnout, aniž by se na chování webu cokoli změnilo.
Je viditelná hlavička serveru bezpečnostní mezera?
Ne. Je to nápověda: útočníci se bez vlastní námahy dozví, jaký software v jaké verzi odpovídá, a mohou cíleně pátrat po odpovídajících slabinách. Zda taková slabina u vás skutečně existuje, hlavička neříká — a kontrola hodnotí výhradně viditelnost, nikdy zranitelnost vaší instalace.
Mohu hlavičky serveru vypnout sám?
To závisí na vašem hostingu. U pronajatého webhostingu to na požádání zařídí poskytovatel, u vlastního serveru vaše agentura nebo správce přes konfiguraci serveru. U stavebnicových poskytovatelů rozhoduje o nastavení serveru sám poskytovatel. Zásah je malý a obvykle nic nestojí na funkčnosti — patří do každé rutiny údržby.