CONF05_Fuite d information technique sur Nginx

[ClemGerard]

Priorité de mise en œuvre	Complexité de mise en œuvre
COURT TERME	SIMPLE

Constat

Le serveur Nginx est configuré pour retourner au client dans son entête “Server” la version exacte de Nginx utilisé. Par ailleurs, la page d’erreur 500 indique le nom du produit logiciel utilisé.

Risque

Un attaquant pourrait utiliser cette information afin de mieux cibler les attaques réalisées sur le serveur. En affichant cette version dans ses entêtes, le serveur est également davantage visible par les scanners automatisés en recherche d’hôtes vulnérables.

Tasks

• Il est recommandé de définir la directive “server_tokens” à “off” et de retirer la mention de nginx dans la page d’erreur 500.