Documentation technique : Debian
Documentation basée sur la distribution Debian

> > > Apache et un petit peu de sécurité

Apache et un petit peu de sécurité

Ne pas afficher les informations de version

La première chose à faire lors de la mise en production d’un serveur Apache est de faire en sorte qu’il n’affiche pas l’ensemble de ses informations de versions afin d’éviter à tout attaquant potentiel de connaitre trop d’informations sur sa machine cible.

Pour cela deux directives sont à modifier.

ServerTokens, dont les informations sont visibles dans les entêtes des requètes, qui peut prendre comme valeur :

  • Prod : la plus restrictive, Apache ne devrait afficher que Apache ;
  • Major : le serveur affichera Apache et son numéro de version majeur Apache/2 ;
  • Minor : le serveur affichera Apache et ses numéros de version majeur et mineur Apache/2.0 ;
  • Min : le serveur affichera Apache et son numéro de version complet Apache/2.0.55 ;
  • Os (par défaut en général) : le serveur affichera Apache, son numéro de version complet et son système d’exploitation Apache/2.0.55 (Debian) ;
  • Full : le serveur affichera Apache, son numéro de version complet, son système d’exploitation et les informations des modules supplémentaires Apache/2.0.55 (Debian) PHP/5.1.4-1 mod1/X.Y mod2/W.Z ;

ServerSignature, moins importante sur ServerTokens est correctement configurée, cette directive affiche le contenu de ServerTokens, le nom de domaine et le port utilisé pour la connexion sur les pages auto-générées par Apache. Trois valeurs sont possibles :

  • Off n’affichera pas ces informations du tout ;
  • On affichera ces informations ;
  • Email affichera ces informations en y ajoutant l’email du ServerAdmin du Virtualhost ;

Ces deux directives se trouvent dans le fichier /etc/apache2/conf.d/security, que l’on édite :

  1. sudo nano /etc/apache2/conf.d/security

On y recherche nos directives que l’on modifie ainsi :

  1. #....
  2. ServerTokens Prod
  3. #....
  4. ServerSignature Off

Télécharger

On n’oublie pas de recharger la configuration d’Apache :

  1. /etc/init.d/apache2 reload
  • Auteur :
  • Publié le :
  • Mis à jour : 29/08/13

Aucun commentaire


Qui êtes-vous ?
  • [Se connecter]
Ajoutez votre commentaire ici
  • Ce formulaire accepte les raccourcis SPIP [->url] {{gras}} {italique} <quote> <code> et le code HTML <q> <del> <ins>. Pour créer des paragraphes, laissez simplement des lignes vides.