Versionsangaben der Software

Was geprüft

Geprüft werden die Kopfzeilen Server und X-Powered-By sowie <meta name="generator"> auf Versionsnummern (Muster Zahl.Zahl, etwa „Apache/2.4.58“ oder „WordPress 6.6“). Eine Produktangabe ohne Nummer ist nicht auffällig.

Wie relevant

Niedrig, wenn eine Versionsnummer sichtbar ist, weil das Verbergen keine Lücke schließt; es erschwert nur die gezielte Suche nach Seiten mit einer bekannt verwundbaren Version.

Warum

Automatisierte Suchen durchkämmen das Netz nach Seiten mit bestimmten Softwareständen. Eine sichtbare Versionsnummer macht die Seite für solche Suchen leichter auffindbar, besonders wenn Updates länger ausbleiben.

Wie beheben

Blenden Sie Versionsangaben in der Server- und PHP-Konfiguration aus und entfernen Sie die Generator-Angabe. Wichtiger als das Verbergen bleibt, Server, CMS und Erweiterungen aktuell zu halten.

Nebenwirkung: Auf Shared Hosting lassen sich ServerTokens und expose_php oft nicht selbst ändern; fragen Sie dann den Hoster. Versionsangaben in Dateiadressen (?ver=) bleiben bestehen. Nach der Änderung Seiten- und CDN-Cache leeren und mit curl -I erneut prüfen.

WordPress: WordPress schreibt seine Version in <meta name="generator">. Viele Sicherheits-Plugins entfernen sie per Option; alternativ genügt eine Zeile im Child-Theme oder in einem kleinen eigenen Plugin.

Codebeispiel

Apache (Serverkonfiguration) und PHP

# httpd.conf / apache2.conf (nicht .htaccess)
ServerTokens Prod
ServerSignature Off
# .htaccess
<IfModule mod_headers.c>
    Header unset X-Powered-By
    Header always unset X-Powered-By
</IfModule>
# php.ini: expose_php = Off

nginx

server_tokens off;
# bei PHP-FPM zusätzlich in php.ini: expose_php = Off
fastcgi_hide_header X-Powered-By;

WordPress (functions.php des Child-Themes)

remove_action('wp_head', 'wp_generator');
add_filter('the_generator', '__return_empty_string');

Weiterführende Quellen

• https://httpd.apache.org/docs/2.4/mod/core.html#servertokens
• https://nginx.org/en/docs/http/ngx_http_core_module.html#server_tokens
• https://www.php.net/manual/en/ini.core.php#ini.expose-php