איך מסתירים את גרסת השרת, ה־PHP והוורדפרס
בקצרה: הגדירו server_tokens off; ב־nginx, ServerTokens Prod ו־ServerSignature Off ב־Apache, expose_php = Off ב־php.ini, והסירו את תגית ה־generator של וורדפרס. כך כלים אוטומטיים לא יכולים להתאים את הגרסאות המדויקות שלכם לניצולים מוכרים. זו תוספת קטנה, לא תיקון: תוכנה מיושנת עדיין צריכה עדכון.
הקוד וההגדרות נשארים באנגלית.
ראו מה אתם חושפים
curl -sI https://yourdomain.com | grep -iE '^(server|x-powered-by):'
curl -s https://yourdomain.com | grep -io '<meta name="generator"[^>]*>'nginx
server_tokens off; # in the http { } blockApache
ההגדרות האלה נכנסות להגדרות הראשיות של השרת (לא ל־.htaccess). הפעילו מחדש את Apache אחר כך.
ServerTokens Prod
ServerSignature OffPHP
expose_php = Offבאחסון משותף, חפשו דף הגדרות PHP בפאנל הבקרה. אם אתם מנהלים את השרת, הפעילו מחדש את PHP-FPM.
וורדפרס
<?php
// wp-content/mu-plugins/no-generator.php
remove_action( 'wp_head', 'wp_generator' );
add_filter( 'the_generator', '__return_empty_string' );מחקו גם את readme.html מתיקיית השורש של האתר (הוא חוזר עם עדכונים, אז בדקו אחרי כל עדכון).
למה עדכון חשוב יותר
תוקפים מנסים לעתים קרובות ניצולים בלי לבדוק גרסאות קודם. הסתרת המספר מסירה סימן קל, אבל התיקון האמיתי היחיד לגרסה ישנה הוא לעדכן אותה. HackGrade מדרגת מספרי גרסה גלויים כסיכון נמוך, וגרסת PHP שיצאה מתמיכה כסיכון גבוה יותר.
שאלות נפוצות
האם הסתרת גרסאות תשפר את ציון האבטחה שלי?
מעט. חשיפת גרסה היא ממצא בחומרה נמוכה. לעדכון תוכנה מיושנת יש השפעה גדולה הרבה יותר.
אפשר להסיר את כותרת ה־Server לגמרי?
לא עם nginx או Apache רגילים, אבל אפשר לצמצם אותה לשם המוצר. חלק מספקי ה־CDN מחליפים אותה בשם שלהם.
האם הסתרת גרסת הוורדפרס מונעת זיהוי של גרסאות תוספים?
לא. לקבצי תוספים ותבניות יש לעתים קרובות מחרוזות גרסה משלהם. שמרו אותם מעודכנים.