Como esconder a versão do servidor, do PHP e do WordPress
Resposta curta: defina server_tokens off; no nginx, ServerTokens Prod e ServerSignature Off no Apache, expose_php = Off no php.ini, e remova a tag generator do WordPress. Assim, ferramentas automáticas não conseguem relacionar suas versões exatas a exploits conhecidos. É um extra pequeno, não uma correção: software desatualizado ainda precisa ser atualizado.
O código e a configuração ficam em inglês.
Veja o que você revela
curl -sI https://yourdomain.com | grep -iE '^(server|x-powered-by):'
curl -s https://yourdomain.com | grep -io '<meta name="generator"[^>]*>'nginx
server_tokens off; # in the http { } blockApache
Estas linhas vão na configuração principal do servidor (não no .htaccess). Reinicie o Apache depois.
ServerTokens Prod
ServerSignature OffPHP
expose_php = OffEm hospedagem compartilhada, procure uma página de configurações do PHP no painel de controle. Se você administra o servidor, reinicie o PHP-FPM.
WordPress
<?php
// wp-content/mu-plugins/no-generator.php
remove_action( 'wp_head', 'wp_generator' );
add_filter( 'the_generator', '__return_empty_string' );Apague também o readme.html da raiz do site (ele volta com as atualizações, então confira depois de cada uma).
Por que atualizar importa mais
Atacantes muitas vezes tentam exploits sem checar versões antes. Esconder o número tira uma pista fácil, mas a única correção real para uma versão antiga é atualizá-la. O HackGrade classifica números de versão visíveis como risco baixo, e uma versão do PHP sem suporte como risco maior.
Perguntas frequentes
Esconder as versões vai melhorar minha nota de segurança?
Um pouco. Mostrar a versão é um achado de gravidade baixa. Atualizar software desatualizado tem um efeito muito maior.
Posso remover o cabeçalho Server por completo?
Não com nginx ou Apache padrão, mas você pode reduzi-lo ao nome do produto. Algumas CDNs o substituem pelo próprio nome.
Esconder a versão do WordPress impede a detecção das versões dos plugins?
Não. Os arquivos de plugins e temas costumam ter os próprios textos de versão. Mantenha-os atualizados.