Esta tradução ainda não foi revista editorialmente. A versão alemã é vinculativa. Deutsche Fassung →
Software-Stand
O que revelam os cabeçalhos de servidor sobre o software da sua website?
Os cabeçalhos de servidor podem mencionar nomes e números de versão do software que entrega a sua website — por exemplo do servidor web ou do ambiente de programação utilizado. Estes cabeçalhos o seu servidor envia invisíveis com cada resposta; toda a gente consegue os solicitar sem que note. A área de verificação Software-Stand relata quando contêm números de versão, pois facilitam aos atacantes o mapeamento.
Cada resposta do servidor traz cabeçalhos invisíveis
Quando um navegador solicita uma página da sua website, o servidor responde com o conteúdo — e com uma série de cabeçalhos que o visitante nunca vê. Regulam coisas técnicas como memorização ou conjunto de caracteres. Alguns deles são pura auto-informação: o cabeçalho «Server» frequentemente menciona o software do servidor web, «X-Powered-By» o ambiente de programação — na configuração padrão frequentemente incluindo número de versão. A área de verificação lê os cabeçalhos da página já solicitada e relata cada um que contenha um número de versão, com a linha exata como prova. Um acesso adicional ao seu servidor não ocorre para isto.
Números de versão no cabeçalho são ajuda pura de esclarecimento para atacantes
Quem uma website quer atacar, esclarece primeiro que software lá funciona. Se os cabeçalhos nomeiam as versões à mão livre, este esforço desaparece — o mapeamento para vulnerabilidades conhecidas torna-se uma simples pesquisa. Também aqui separa a verificação limpo: um cabeçalho de versão visível prova visibilidade, não vulnerabilidade. Se a versão de software nomeada tem realmente uma brecha utilizável, o relatório não diz, e a verificação também não investiga isto. Na avaliação, a assinatura oculta do servidor conta 20 de 100 pontos — um pequeno, mas facilmente coleccionável componente, pois desligar isto geralmente não custa em função.
O operador de alojamento ou a agência desligam a assinatura
A auto-informação dos cabeçalhos consegue ser suprimida ou encurtada para o mero nome de produto sem versão na configuração do servidor. No espaço web alugado, o operador de alojamento faz isto mediante solicitação — uma breve pergunta ao suporte geralmente é suficiente. Se sua agência opera o servidor, o passo pertence à sua rotina de manutenção. As websites em construtores de websites ficam fora de sua influência; ali, o operador é responsável pelas configurações do servidor no geral. Importante permanece a classificação: ocultar a assinatura é higiene, não um escudo protector. O trabalho de segurança real é a atualização contínua do software do servidor — isto passa apenas invisível, enquanto a assinatura é o mais visível que um servidor revela.
- Peça ao seu operador de alojamento ou sua agência para desligar indicações de versão nos cabeçalhos de resposta.
- Pergunte qual software de servidor entrega a sua website e quem é responsável pela sua atualização.
- Deixe verificar após cada mudança de servidor ou atualização maior se os cabeçalhos novamente mencionam versões — as definições padrão gostam de regressar.
- Mantenha a responsabilidade por escrito: manutenção de servidor pertence a um contrato de manutenção, não a um chamado apressado.