ВойтиРегистрация

Скрыть версию сервера и PHP

пошаговая инструкция · Быстро: 5–15 минут

← Все инструкции

1. Что произошло

В ответе сайта указано, какое ПО и какой версии стоит на сервере.

2. Почему это важно

Злоумышленнику проще подобрать готовую атаку под вашу версию. После исправления: Меньше информации для атакующих.

3. На каких страницах обнаружено

Заголовки Server и X-Powered-By главной страницы.

Чтобы увидеть адреса на вашем сайте, откройте инструкцию из отчёта или добавьте домен в адрес: /fix/leak/ваш-сайт.ru.

4. Как исправить

Шаги

  1. Отключите вывод версии: в nginx — server_tokens off, в Apache — ServerTokens Prod, в PHP — expose_php=Off.
  2. На виртуальном хостинге параметры PHP меняются в панели («Настройки PHP») или в .user.ini.
  3. Помните: это «безопасность через неясность». Главное — своевременно обновлять ПО.
WordPress
  1. Уберите метатег generator: код ниже. Версию WordPress всё равно можно узнать по файлам, поэтому важнее обновления ядра и плагинов.

5. Готовый код

Замените example.com на свой домен. Перед правкой конфигурации сделайте резервную копию файла.

Любой сайт

php.ini или .user.ini
expose_php = Off

WordPress

WordPress: убрать generator
remove_action('wp_head', 'wp_generator');
add_filter('the_generator', '__return_empty_string');

nginx

nginx (http-блок)
server_tokens off;

Apache

Apache (конфиг сервера)
ServerTokens Prod
ServerSignature Off

6. Как проверить результат

  1. В заголовке Server не должно быть номера версии, а X-Powered-By — исчезнуть.
  2. Нажмите «Перепроверить сайт».
Заголовки
curl -sI https://example.com/ | grep -iE '^(server|x-powered-by)'

Чтобы перепроверить сайт, откройте отчёт и нажмите «Проверить заново».