Problema: Eliminación de cabeceras del servidor Apache
La cabecera "Server: Apache" en las respuestas HTTP puede mostrar información sobre el software del servidor web. Esto puede suponer un riesgo de seguridad al proporcionar a posibles atacantes detalles sobre la configuración del servidor.
Intentos comunes para eliminar la cabecera
Modificación del archivo httpd.conf
Los administradores a menudo intentan eliminar o cambiar la cabecera "Server: Apache" editando el archivo httpd.conf. Estos son algunos métodos comunes:
-
Usar ServerSignature Off: Esto desactiva la firma del servidor en las páginas generadas por el servidor, como los documentos de error. Sin embargo, no afecta a la cabecera Server en las respuestas HTTP.
-
Configurar ServerTokens Prod: Esto reduce la información en la cabecera Server a solo "Apache" sin números de versión u otros detalles. Limita la información compartida pero no elimina la cabecera por completo.
-
Usar Header unset Server: Algunos administradores intentan esto para eliminar completamente la cabecera Server. Sin embargo, no funciona porque Apache no permite la eliminación completa de esta cabecera solo mediante configuraciones.
Estos métodos pueden reducir la información en la cabecera Server, pero no la eliminan completamente. La cabecera seguirá mostrando "Apache" como software del servidor, lo que algunos administradores consideran un problema de seguridad.
Consejo: Considere usar un proxy inverso
Para aquellos que desean ocultar completamente la cabecera del servidor Apache, usar un proxy inverso como Nginx puede ser una buena opción. Nginx se puede configurar para reemplazar o eliminar la cabecera del servidor Apache antes de enviar la respuesta al cliente. Esto agrega una capa adicional de seguridad y control sobre la información compartida sobre la configuración de su servidor.
Por qué es difícil eliminar completamente la cabecera
Los desarrolladores del servidor HTTP Apache no permiten la eliminación completa de la cabecera "Server: Apache" solo mediante configuraciones. Tienen varias razones para esto:
-
Estadísticas de uso: La cabecera ayuda a rastrear las instalaciones de Apache en todo el mundo. Estos datos muestran la cuota de mercado y las tendencias de uso de Apache.
-
Depuración: La cabecera del servidor ayuda a solucionar problemas. Proporciona información para identificar problemas específicos del servidor.
-
Especificación HTTP: Existe la duda de si eliminar la cabecera del servidor cumple con las especificaciones HTTP.
-
Preocupaciones de seguridad: Los desarrolladores dicen que eliminar la cabecera no mejora mucho la seguridad. Piensan que podría crear una falsa sensación de seguridad.
-
Manejo de servidores proxy: Algunos servidores proxy usan la cabecera del servidor para manejar mejor las solicitudes. Eliminarla podría afectar estos procesos.
-
Otras opciones: Los desarrolladores sugieren que los usuarios que necesiten cambiar la cabecera pueden editar el código fuente o usar proxies inversos.
Estas razones han llevado a Apache a mantener la cabecera del servidor, incluso cuando los administradores intentan eliminarla completamente a través de configuraciones.
Consejo: Personalización de la cabecera del servidor
Aunque no puede eliminar completamente la cabecera "Server: Apache", puede personalizarla usando la directiva ServerTokens en su configuración de Apache. Configúrela como "ProductOnly" para mostrar solo "Apache" sin información de versión:
ServerTokens ProductOnlyEste enfoque equilibra los requisitos de Apache con la minimización de la información expuesta.
