WordPress hilfe

Du hast WordPress installiert und prüfst die Installation oder Deine Webseite und erhältst folgende Meldung:

“Der x-powered header wird unnötigerweise mitgesendet”

Was bedeutet das?

Über den Server in die Programmiersprache PHP wir ein Header mitgesendet, dies sind Informationen über das verwendete System. Leider nutzen Hacker genau solche Informationen aus, um eine Seite anzugreifen. Die meisten Webhoster werden dies schon zur eigenen Sicherheit abgeschaltet haben. Frage hier einmal nach.

Abhilfe

Je nachdem welchen Server Du verwendest kannst Du auch selber Abhilfe schaffen.

Apache

Mit dem folgenden Eintrag in der /etc/apache2/httpd.conf (Pfad kann variieren) kann der X-Powered-By Header entfernt werden.

Header unset X-Powered-By

 

Plesk Server (Version 11)

Um auf einem Plesk Server den X-Powered-By  Header auszublenden, muss man etwas anders vorgehen. Hier werden die Config Dateien automatisch generiert. Eine Variante ist es in der server.php die folgende Zeile auszukommentieren.

In Datei: /usr/local/psa/admin/conf/templates/default/server.php

Zeile ersetzen gegen

#Header add X-Powered-By PleskLin

anschließend mit dem Befehl die Konfiguration neu laden

/usr/local/psa/admin/sbin/httpdmng --reconfigure-all

 

PHP

Um den Server Header zu hindern die PHP Version auszugeben, muss in der php.ini der folgende Eintrag gesetzt werden.

expose_php = Off

So wird zum Beispiel aus

Server: Apache/2.4.7 (Win32) OpenSSL/1.0.1e PHP/5.5.

nur noch

Server: Apache/2.4.7 (Win32) OpenSSL/1.0.1e

 

ServerTokens und ServerSignature

Wie manchen vielleicht auffällt, gibt im letzten Beispiel der Server Header noch immer einiges an Infos aus. Dafür ist die ServerTokens Einstellung im Apache verantwortlich. Diese sollte im produktiven Einsatz immer auf Prod gestellt sein.

Unter Ubuntu findet man die Einstellung in der Datei: /etc/apache2/conf.d/security
Ansonsten kann es auch in der apache2.conf oder httpd.conf definiert werden.

ServerTokens Prod

Nach dem Server Neustart sieht der Server Header so aus

Server: Apache

Zusätzlich muss in der Config Datei ServerSignature auf Off gesetzt werden.

ServerSignature Off

Dadurch wird die Signatur auf automatisch generierten Seiten (Fehlerseiten, Verzeichnisauflistungen) deaktiviert. Ohne diese Einstellung sieht zum Beispiel eine 404er Fehlerseite so aus.

Not Found

The requested URL /ad was not found on this server.
Apache Server at 192.168.0.100 Port 80

Quelle: https://dev.scoutman.at/2014/01/x-powered-by-und-server-header-entfernen/