Problema: Removendo Cabeçalhos do Servidor Apache
O cabeçalho "Server: Apache" nas respostas HTTP pode revelar informações sobre o software do servidor web. Isso pode ser um risco de segurança, fornecendo a potenciais atacantes detalhes sobre a configuração do servidor.
Tentativas Comuns de Remover o Cabeçalho
Modificando o Arquivo httpd.conf
Administradores frequentemente tentam remover ou alterar o cabeçalho "Server: Apache" editando o arquivo httpd.conf. Aqui estão alguns métodos comuns:
-
Usando ServerSignature Off: Isso desativa a assinatura do servidor em páginas geradas pelo servidor, como documentos de erro. No entanto, não afeta o cabeçalho Server nas respostas HTTP.
-
Configurando ServerTokens Prod: Isso reduz a informação no cabeçalho Server para apenas "Apache" sem números de versão ou outros detalhes. Limita as informações compartilhadas, mas não remove o cabeçalho completamente.
-
Usando Header unset Server: Alguns administradores tentam isso para remover o cabeçalho Server inteiramente. Contudo, não funciona porque o Apache não permite a remoção completa deste cabeçalho apenas através de configurações.
Esses métodos podem reduzir as informações no cabeçalho Server, mas não o removem completamente. O cabeçalho ainda mostrará "Apache" como o software do servidor, o que alguns administradores consideram um problema de segurança.
Dica: Considere Usar um Proxy Reverso
Para aqueles que desejam ocultar completamente o cabeçalho do servidor Apache, usar um proxy reverso como o Nginx pode ser uma boa opção. O Nginx pode ser configurado para substituir ou remover o cabeçalho do servidor Apache antes de enviar a resposta ao cliente. Isso adiciona uma camada extra de segurança e controle sobre as informações compartilhadas sobre a configuração do seu servidor.
Por Que é Desafiador Remover Completamente o Cabeçalho
Os desenvolvedores do Apache HTTP Server não permitem a remoção total do cabeçalho "Server: Apache" apenas através de configurações. Eles têm várias razões para isso:
-
Estatísticas de uso: O cabeçalho ajuda a rastrear instalações do Apache em todo o mundo. Esses dados mostram a participação de mercado do Apache e tendências de uso.
-
Depuração: O cabeçalho do servidor ajuda na solução de problemas. Ele fornece informações para identificar problemas específicos do servidor.
-
Especificação HTTP: Há questionamentos sobre se a remoção do cabeçalho do servidor segue as especificações HTTP.
-
Preocupações com segurança: Os desenvolvedores afirmam que remover o cabeçalho não melhora muito a segurança. Eles acreditam que isso pode criar uma falsa sensação de segurança.
-
Manipulação de servidor proxy: Alguns servidores proxy usam o cabeçalho do servidor para lidar melhor com as requisições. Removê-lo poderia afetar esses processos.
-
Outras opções: Os desenvolvedores sugerem que usuários que precisam alterar o cabeçalho podem editar o código-fonte ou usar proxies reversos.
Essas razões levaram o Apache a manter o cabeçalho do servidor, mesmo quando os administradores tentam removê-lo completamente através de configurações.
Dica: Personalizando o Cabeçalho do Servidor
Embora você não possa remover completamente o cabeçalho "Server: Apache", você pode personalizá-lo usando a diretiva ServerTokens na sua configuração do Apache. Configure-a para "ProductOnly" para exibir apenas "Apache" sem informações de versão:
ServerTokens ProductOnlyEssa abordagem equilibra os requisitos do Apache com a minimização das informações expostas.
