Esta traducción aún no ha sido revisada editorialmente. La versión alemana es la vinculante. Deutsche Fassung →
Software-Stand
¿Qué revelan los encabezados del servidor sobre el software de su sitio web?
Los encabezados del servidor pueden nombrar nombres y números de versión del software que entrega su sitio web, por ejemplo del servidor web o del entorno de programación utilizado. El servidor envía estos encabezados invisibles con cada respuesta; cualquiera puede consultarlos sin que lo note. El área de comprobación Software-stand informa cuando contienen números de versión, ya que facilitan la asignación a los atacantes.
Cada respuesta del servidor lleva encabezados invisibles
Cuando un navegador solicita una página de su sitio web, el servidor responde con el contenido y con una serie de encabezados que el visitante nunca ve. Regulan cosas técnicas como almacenamiento en caché o conjunto de caracteres. Algunos son información pura del servidor: el encabezado «Server» a menudo nombra el software del servidor web, «X-Powered-By» el entorno de programación, a menudo con número de versión en la configuración predeterminada. El área de comprobación lee los encabezados de la página que ya se ha solicitado e informa de cada uno que contiene un número de versión, con la línea exacta como prueba. No se accede al servidor de forma adicional para esto.
Los números de versión en el encabezado son ayuda pura para la investigación de atacantes
Quien quiere atacar un sitio web primero averigua qué software se está ejecutando. Si los encabezados dan las versiones gratuitamente, se ahorra este esfuerzo; la asignación a vulnerabilidades conocidas se convierte en simple investigación. Aquí también la comprobación distingue claramente: un encabezado de versión visible comprueba la visibilidad, no la vulnerabilidad. El hallazgo no dice si la versión del software nombrada realmente tiene un vacío explotable, y la comprobación tampoco investiga esto. En la evaluación, la firma del servidor oculta cuenta por 20 de 100 puntos: un componente pequeño pero fácil de reunir, porque apagar esto generalmente no cuesta función.
El proveedor o la agencia apaga la firma
La información del servidor en los encabezados se puede suprimir en la configuración del servidor o acortar solo al nombre del producto sin versión. Con espacio web alquilado, el proveedor lo hace a petición: una breve solicitud al soporte suele ser suficiente. Si su agencia opera el servidor, el procedimiento pertenece a su rutina de mantenimiento. Los sitios web de proveedores de compiladores están fuera de su control; allí el proveedor es responsable del mantenimiento del servidor en general. Lo importante sigue siendo la clasificación: ocultar la firma es higiene, no un escudo protector. El verdadero trabajo de seguridad es la actualización continua del software del servidor: solo sucede de manera invisible, mientras que la firma es lo más visible que un servidor revela.
- Pida a su proveedor o agencia que desactive los números de versión en los encabezados de respuesta.
- Pregunte qué software de servidor entrega su sitio web y quién es responsable de su actualización.
- Después de cada traslado de servidor o actualización importante, verifique si los encabezados vuelven a nombrar versiones: la configuración predeterminada tiende a reaparecer.
- Fije la responsabilidad por escrito: el mantenimiento del servidor pertenece a un contrato de mantenimiento, no a un simple aviso.