サーバー情報開示

サーバー/テクノロジーバージョンを漏らすHTTPヘッダーを検出します。Server、X-Powered-By、X-AspNet-Version、X-Generator、X-Runtime、X-Varnish。重要度付きの調査結果。A～Fのグレード。

サーバー情報開示の使い方

1サーバー情報開示をチェックするURLを入力してください。
2このツールはHEADリクエストを送信し、すべてのHTTPレスポンスヘッダーを読み取ります。
3サーバー/テクノロジーバージョンを明かすヘッダーに重要度付きのフラグが付けられます。
4開示ヘッダーを削除またはサニタイズするための推奨事項を確認してください。

Zenovayアナリティクス

クッキーバナーのいらないアナリティクス。

リアルタイムの訪問者トラッキング
プライバシーファースト、クッキーバナーなし
2分でセットアップ

Zenovayを見る

よくある質問

なぜサーバーバージョンの開示はセキュリティリスクですか？▾

あなたのServerヘッダーが'Apache/2.4.49'と言う場合、攻撃者はすぐにCVE-2021-41773（そのバージョンに固有の重大なApacheパストトラバーサル脆弱性）を調べて、あなたのサーバーが脆弱であることを知ることができます。バージョン開示は公開CVEデータベースを直接的な攻撃ガイドに変えます。バージョン情報を削除しても脆弱性は修正されませんが、自動スキャナーの容易い目標を削除します。

X-Powered-Byとは何ですか、また、どのように削除しますか？▾

X-Powered-Byは多くのフレームワークによって自動的に追加されます：PHPは'X-Powered-By: PHP/8.1.0'を追加、Expressは'X-Powered-By: Express'を追加、ASP.NETは'X-Powered-By: ASP.NET'を追加します。次の方法で削除してください：PHP (php.iniでexpose_php = Off)、Express (app.disable('x-powered-by')またはhelmet.jsを使用)、ASP.NET (web.configでカスタムヘッダーを削除)、Next.js (next.config.jsでheadersを設定)。

バージョン情報を削除するようにNginxを設定するにはどうすればよいですか？▾

nginx.conf（httpブロックまたはserverブロック内）に'server_tokens off;'を追加してください。これにより、'Server: nginx/1.22.1'は'Server: nginx'に変わります。完全に削除するには、nginx-moreモジュールでNginxをコンパイルするか、OpenResty headers-more-nginx-moduleを使用して任意のカスタムServerヘッダーを設定します：'more_set_headers Server: none'。

これはコンプライアンス要件ですか？▾

はい。PCI DSS 6.2.4は、攻撃者にソフトウェア/バージョン情報を明かす可能性のあるエラーメッセージとレスポンスから不要な情報を削除することを要求しています。OWASP Top 10にはバージョン開示をカバーする'Security Misconfiguration'が含まれています。ISO 27001と多くのエンタープライズセキュリティフレームワークは、多層防御の一部として情報漏洩を最小化することを要求しています。

サーバーヘッダーを削除することは実際にセキュリティを改善しますか？▾

それは多層防御であり、銀の弾ではありません。決心した攻撃者は、明示的なバージョンヘッダーがなくても、動作パターンを通じてソフトウェアをフィンガープリントできます。ただし、最も容易な攻撃ベクトルを排除します：特定のバージョンを探す何百万のサーバーをスキャンする自動脆弱性スキャナー（Shodan、Masscan、Nuclei）。これは最小限の努力で、デメリットのない改善です。常に値する行動です。

画像ツール

サーバー情報開示