Deze vertaling is nog niet redactioneel gecontroleerd. De Duitse versie is leidend. Deutsche Fassung →
Software-Stand
Wat verraden server-kopregels over de software van uw website?
Server-kopregels kunnen namen en versienummers noemen van de software die uw website aflevert — bijvoorbeeld van de webserver of de gebruikte programmeerkader. Deze kopregels stuurt uw server onzichtbaar bij elk antwoord mee; iedereen kan ze opvragen zonder dat u het merkt. Het controlegebied Software-stand meldt wanneer daarin versienummers staan, want ze vergemakkelijken aanvallers de toewijzing.
Elke serverreactie draagt onzichtbare kopregels
Wanneer een browser een pagina van uw website ophaalt, antwoordt de server met de inhoud — en met een reeks kopregels die de bezoeker nooit ziet. Ze regelen technische zaken zoals buffers of tekencodes. Sommige daarvan zijn puur eigenuitsluitsel: de koptregel ‟Server” noemt vaak de webserver-software, ‟X-Powered-By” de programmeerkader — in de standaardinzet vaak samen met het versienummer. Het controlegebied leest de kopregels van de toch opgehaalde pagina en meldt alle die een versienummer bevatten, met de exacte regel als bewijsstuk. Een extra toegang tot uw server vindt niet plaats.
Versienummers in de header zijn louter opsporingshulp voor aanvallers
Wie een website wil aanvallen, klaart eerst op welke software het draait. Noemen de kopregels de versies gratis, vervalt deze moeite — de toewijzing aan bekende zwaktes wordt een eenvoudige recherche. Ook hier scheidt de toetsing zuiver: een zichtbare versie-header bewijst zichtbaarheid, geen kwetsbaarheid. Of de genoemde softwareversie werkelijk een gat heeft waar in te breken is, zegt de header niet, en de toetsing onderzoekt dat ook niet. In de waardering telt de verborgen server-handtekening 20 van 100 punten — een klein, maar gemakkelijk ingezameld onderdeel, want het uitschakelen kost in de regel niets aan werking.
De host of het bureau schakelt de handtekening uit
De eigenuitsluitsel van de kopregels laat zich in de serverconfiguratie onderdrukken of tot de blote productnaam zonder versie verkorten. Bij gehuurde webspace doet het de host op verzoek — vaak volstaat een kort bericht aan de helpdesk. Runt uw bureau de server, behoort de handeling tot hun onderhoudsprocedure. Websites bij bouwkastenaanbieders liggen buiten uw invloed; daar verantwoordt de leverancier de serverinstellingen ten gehele. Belangrijk blijft de ordening: het verbergen van de handtekening is hygiëne, geen schilddak. Het werkelijke beveiligingswerk is de voortdurende bijwerking van de serversoftware — het gebeurt alleen onzichtbaar, terwijl de handtekening het meest zichtbare is wat een server prijsgeeft.
- Vraag uw host of uw bureau versieaanduidingen in de reactie-kopregels uit te schakelen.
- Vraag na welke serversoftware uw website aflevert en wie de bijwerking daarvan verantwoordt.
- Laat na elke serververhuizing of groter update controleren of de kopregels weer versies noemen — standaardinzetten keren graag terug.
- Houd de verantwoordelijkheid schriftelijk vast: serveronderhoud behoort in een onderhoudspact, niet in aanroep.