Apacheに「サーバー」応答ヘッダーを保持する理由はありますか

私のサーバーはServer: Apache/2.2.15 (CentOS)すべてのリクエストに応答します。これにより、サーバーアーキテクチャが解放され、ハッキングの試みが容易になると思います。

これはWebブラウザーにとって便利ですか？そのままにしておくべきですか？

私の意見では、これをできるだけ隠すのが最善です。Webサイトをハッキングするために使用するツールの1つです。Webサイトの技術を発見し、その技術の既知の欠陥を使用してください。セキュリティのベストプラクティスがしばらく前に「/view/page.jsp」または「/view/page.asp」ではなく「/ view / page」の形式のURLを持つように促進し始めたのと同じ理由...公開されません。

/programming/843917/why-does-the-server-http-header-existやhttp://www.troyhunt.com/2012/02/shhh-など、これに関するいくつかの議論があります。 dont-let-your-response-headers.htmlと明らかにハッキング公開本。

また、セキュリティSEの/security/23256/what-is-the-http-server-response-header-field-used-for

ただし、これはサーバーのセキュリティ保護のすべてではないことに注意してください。正しい方向にもう1ステップ進みます。ハックの実行を妨げるものではありません。どのようなハックを実行する必要があるかについて、それが見えにくくなるだけです。

必要に応じてサーバーヘッダーを変更できますが、セキュリティのためにこれを当てにしないでください。攻撃者はサーバーヘッダーを無視して、既知のすべてのエクスプロイトを最初から試すことができるため、最新の状態に保つだけでそれが可能になります。

RFC 2616は次のように述べています：

サーバー実装者は、このフィールドを構成可能なオプションにすることをお勧めします。

そして、ApacheはServerTokensディレクティブを使用しました。必要に応じてこれを使用できますが、繰り返しますが、魔法のように攻撃されるのを防ぐとは思わないでください。

完全な文字列とバージョン情報を表示すると、攻撃者がどのサーバーでどのソフトウェアを実行しているかのリストを保持している場合、0day攻撃からのリスクが高くなります。

そうは言っても、サーバー文字列を非表示にすることでハッキングの試みから保護されると期待するべきではありません。応答とエラーの報告方法に基づいてサーバーをフィンガープリントする方法があります。

できる限り文字列を無効にしますが、非表示にできない文字列（OpenSSHなど）については気にしません。