Comment masquer la version de votre serveur, de PHP et de WordPress
En bref : définissez server_tokens off; dans nginx, ServerTokens Prod et ServerSignature Off dans Apache, expose_php = Off dans php.ini, et retirez la balise generator de WordPress. Les outils automatisés ne peuvent alors plus associer vos versions exactes à des exploits connus. C’est un petit plus, pas un correctif : un logiciel obsolète doit toujours être mis à jour.
Le code et la configuration restent en anglais.
Voyez ce que vous révélez
curl -sI https://yourdomain.com | grep -iE '^(server|x-powered-by):'
curl -s https://yourdomain.com | grep -io '<meta name="generator"[^>]*>'nginx
server_tokens off; # in the http { } blockApache
Ces directives vont dans la configuration principale du serveur (pas dans .htaccess). Redémarrez Apache ensuite.
ServerTokens Prod
ServerSignature OffPHP
expose_php = OffSur un hébergement mutualisé, cherchez une page de réglages PHP dans votre panneau de contrôle. Si vous gérez le serveur, redémarrez PHP-FPM.
WordPress
<?php
// wp-content/mu-plugins/no-generator.php
remove_action( 'wp_head', 'wp_generator' );
add_filter( 'the_generator', '__return_empty_string' );Supprimez aussi readme.html à la racine du site (il revient avec les mises à jour : vérifiez après chacune).
Pourquoi la mise à jour compte davantage
Les attaquants essaient souvent des exploits sans vérifier les versions au préalable. Masquer le numéro retire un indice facile, mais la seule vraie solution pour une ancienne version est de la mettre à jour. HackGrade classe les numéros de version visibles en risque faible, et une version de PHP qui n’est plus prise en charge en risque plus élevé.
Questions fréquentes
Masquer les versions va-t-il améliorer ma note de sécurité ?
Légèrement. L’affichage de version est un constat de faible gravité. Mettre à jour un logiciel obsolète a un effet bien plus important.
Puis-je supprimer complètement l’en-tête Server ?
Pas avec nginx ou Apache standard, mais vous pouvez le réduire au nom du produit. Certains CDN le remplacent par leur propre nom.
Masquer la version de WordPress empêche-t-il de détecter les versions des extensions ?
Non. Les fichiers des extensions et des thèmes contiennent souvent leurs propres chaînes de version. Gardez-les à jour.