Cómo ocultar la versión de tu servidor, PHP y WordPress
Respuesta corta: configura server_tokens off; en nginx, ServerTokens Prod y ServerSignature Off en Apache, expose_php = Off en php.ini, y quita la etiqueta generator de WordPress. Así las herramientas automáticas no pueden relacionar tus versiones exactas con exploits conocidos. Es un extra pequeño, no una solución: el software desactualizado sigue necesitando actualizarse.
El código y la configuración se mantienen en inglés.
Mira lo que revelas
curl -sI https://yourdomain.com | grep -iE '^(server|x-powered-by):'
curl -s https://yourdomain.com | grep -io '<meta name="generator"[^>]*>'nginx
server_tokens off; # in the http { } blockApache
Estas líneas van en la configuración principal del servidor (no en .htaccess). Reinicia Apache después.
ServerTokens Prod
ServerSignature OffPHP
expose_php = OffEn un hosting compartido, busca una página de ajustes de PHP en tu panel de control. Si administras el servidor, reinicia PHP-FPM.
WordPress
<?php
// wp-content/mu-plugins/no-generator.php
remove_action( 'wp_head', 'wp_generator' );
add_filter( 'the_generator', '__return_empty_string' );Borra también readme.html de la raíz del sitio (vuelve con las actualizaciones, así que compruébalo después de cada una).
Por qué actualizar importa más
Los atacantes suelen probar exploits sin comprobar antes las versiones. Ocultar el número quita una pista fácil, pero la única solución real para una versión antigua es actualizarla. HackGrade califica los números de versión visibles como riesgo bajo, y una versión de PHP sin soporte como riesgo mayor.
Preguntas frecuentes
¿Ocultar las versiones mejorará mi nota de seguridad?
Un poco. Mostrar la versión es un hallazgo de gravedad baja. Actualizar el software desactualizado tiene un efecto mucho mayor.
¿Puedo quitar la cabecera Server por completo?
No con nginx o Apache estándar, pero puedes reducirla al nombre del producto. Algunas CDN la sustituyen por su propio nombre.
¿Ocultar la versión de WordPress impide detectar las versiones de los plugins?
No. Los archivos de plugins y temas suelen llevar sus propias cadenas de versión. Mantenlos actualizados.