Sunucu yazılım sürümünü açık ediyor

ÖnemDüşük

KapsamTüm site

EmekAz

DoğrulamaGüvenlik taraması (haftalık ya da Yeniden tara)

Kural anahtarısec_version_leak

Kısa cevap

Ana sayfanızın Server, X-Powered-By ya da benzeri bir başlığı sürüm numarası içeriyor, örneğin Apache/2.4.41 ya da PHP/8.1.2. Otomatik tarayıcılar bunları açık listeleriyle eşleştirip eski sürüm çalıştıran siteleri seçer. Numarayı gizlemek küçük bir düzeltmedir; asıl koruma yazılımı güncel tutmaktır. Sıralamaya etkisi yoktur.

Neden önemli

Toplu saldırı botları sitenizi incelemez; bilinen bir açığı olan sürüm dizesini internette tarar ve eşleşen her siteye saldırır. Görünen bir PHP/7.4.33 ayrıca çalışma ortamının destek süresinin bittiğini de söyler. Numarayı kaldırmak hiçbir açığı kapatmaz ama sizi en ucuz hedef listelerinden çıkarır ve güncelleme eksiklerinizi ilan etmeyi bırakır.

Aynı bilgi çoğu zaman başka yollarla da çıkarılabildiği için düzeyi Düşük'tür. Arama motorları bu başlıkları dikkate almaz.

Glimana bunu nasıl tespit eder

Glimana HTTPS ana sayfanızın yanıt başlıklarını okur ve Server, X-Powered-By, X-AspNet-Version, X-AspNetMvc-Version ve X-Generator başlıklarına bakar. Değeri bir sürüm numarası (2.4 gibi noktalı rakamlar) içeren başlık işaretlenir. Server: nginx ya da Server: cloudflare gibi sürümsüz bir ürün adı geçer. Sorun Düşük düzeydedir.

Nasıl düzeltilir

Dikkat

ServerTokens yalnız ana sunucu ayarında kullanılabilir; .htaccess dosyasına yazmak bütün sitede 500 hatasına yol açar. expose_php da yalnız php.ini ya da barındırıcınızın PHP ayarlarından değiştirilebilir, ini_set() ile değil. Cloudflare arkasında Server başlığı değiştirilir ama X-Powered-By siz kaldırmadıkça olduğu gibi geçer.

Glimana'da bulguyu bulun. Güvenlik sayfasını açın; bu kontrol Bilgi sızıntıları grubunda, son taramanın kanıtı başlığının altında. Aynı sorun Sorunlar › Sunucu yazılım sürümünü açık ediyor altında da listelenir.
Düzeltmeyi platformunuzda uygulayın.

ApacheNginxPHP / ASP.NETCloudflare

Ana ayar dosyasında (apache2.conf, httpd.conf ya da sanal sunucu): ServerTokens Prod ve ServerSignature Off, ardından Apache'yi yeniden yükleyin. Yalnız .htaccess erişiminiz olan paylaşımlı barındırmada PHP başlığını yine de kaldırabilirsiniz: Header always unset X-Powered-By ve Header unset X-Powered-By (hangisinin işleyeceği PHP'nin nasıl çalıştığına bağlıdır).

http bloğunda server_tokens off;. PHP-FPM ile çalışan PHP için fastcgi_hide_header X-Powered-By;, proxy_pass arkasındaki bir uygulama için proxy_hide_header X-Powered-By; ekleyin. Ardından nginx -t && systemctl reload nginx.

PHP: php.ini dosyasında ya da barındırma panelinizin PHP seçeneklerinde expose_php = Off, sonra PHP-FPM'i yeniden başlatın. ASP.NET: web.config içinde <httpRuntime enableVersionHeader="false" /> X-AspNet-Version başlığını kaldırır; MVC için Application_Start içine MvcHandler.DisableMvcResponseHeader = true; ekleyin.

Rules › Settings › Managed Transforms: Remove "X-Powered-By" headers seçeneğini açın. Diğer başlıklar için Remove işlemli bir Response Header Transform Rule oluşturun (Rules › Overview › Create rule). Cloudflare Server başlığını zaten cloudflare ile değiştirir.
Glimana'da kontrol edin. Güvenlik sayfasında Yeniden tara düğmesine basın (saatte en çok iki tarama) ya da pazar günkü haftalık taramayı bekleyin; kontrol geçince sorun kapanır.

Düzeltme nasıl doğrulanır

Düzelttikten sonra Güvenlik sayfasında Yeniden tara düğmesine basın (ya da pazar günkü haftalık taramayı bekleyin); kontrol geçtiği anda sorun kapanır.