server_tokens

Почему это простое и низкорисковое исправление

Отключение server_tokens убирает информацию о версии из каждого ответа одной строкой конфигурации без функционального влияния на сайт, что делает это одним из самых ценных и наименее трудозатратных изменений, доступных на сервере nginx.

От чего это не защищает

Скрытие номера версии снижает лёгкую разведку, но не устраняет реальную уязвимость. Сервер, скрывающий версию, но всё ещё работающий на реально устаревшем, уязвимом ПО, лишь незначительно безопаснее того, что её раскрывает.

Эту и другие быстрые настройки защиты см. здесь: руководство по безопасности nginx.

Как убедиться, что изменение действительно сработало

Задать директиву и увидеть, что она работает, это не одно и то же. Проверьте заголовок ответа до и после, а заодно посмотрите страницу ошибки, потому что, согласно документации nginx, значение on выводит версию и в заголовке "Server", и на страницах ошибок:

curl -sI https://example.com/ | grep -i '^server'
curl -s https://example.com/no-such-page | tail -n 3
nginx -T | grep server_tokens

До изменения в первой строке будет nginx/ и номер версии. После неё должно остаться только nginx, а внизу страницы ошибки не должно быть номера. Последняя команда перечисляет все места, где директива задана. Это важно, потому что она допустима в контекстах http, server и location, и более конкретный блок может незаметно включить её обратно. Примените изменение командой nginx -t && systemctl reload nginx.

Документированные значения: on (по умолчанию), off, build (версия плюс имя сборки, начиная с 1.11.10) и произвольная строка. Используйте off. Считайте это быстрой рутиной, а не решением проблемы. Место этой настройки среди остальных показано в руководстве по безопасности nginx.

Когда заголовок Server всё равно выдаёт информацию

При server_tokens off nginx всё равно сообщает, что это nginx. Полностью убрать или переписать заголовок в обычном открытом nginx нельзя: по документации, значение в виде произвольной строки, где пустая строка отключает поле Server, входит в коммерческую подписку. Обычный обходной путь в открытой версии это сторонний модуль headers-more, умеющий очищать встроенные выходные заголовки, но его нужно собирать или подключать как динамический модуль, а это добавляет работы при обновлениях. Для большинства сайтов достаточно скрытого номера версии.

Проверьте и свои приложения. Когда nginx проксирует запросы к бэкенду, модуль proxy по умолчанию не передаёт заголовки Date и Server бэкенда, но остальные, например X-Powered-By, передаются, и они часто называют язык и версию. Убрать такой заголовок можно так:

proxy_hide_header X-Powered-By;

Всё это не остановит целенаправленного атакующего, который проверяет поведение, а не читает баннеры. Решающий шаг это установка обновлений, как показал случай NGINX Rift, где исправлением стало обновление версии. Чтобы сделать это рутиной, прочитайте руководство по управлению обновлениями.

Связанные термины: nginx, Security headers, TLS / SSL.