Server header
Baseline
Weitgehend verfügbar
Diese Funktion ist gut etabliert und funktioniert auf vielen Geräten und in vielen Browserversionen. Sie ist seit Juli 2015 browserübergreifend verfügbar.
Der HTTP-Antwort-Header Server beschreibt die Software, die der Ursprungsserver verwendet hat, um die Anfrage zu verarbeiten und eine Antwort zu erzeugen.
Die Angabe von Servertyp und -version über diesen Header hilft bei Analysen und dabei, die Verbreitung bestimmter Interoperabilitätsprobleme zu ermitteln. In der Vergangenheit haben Clients die Versionsinformationen des Servers genutzt, um bekannte Einschränkungen zu umgehen, etwa die uneinheitliche Unterstützung von Bereichsanfragen in bestimmten Softwareversionen.
Warnung: Wenn dieser Header in Antworten enthalten ist, können bekannte Sicherheitslücken leichter erkannt werden – insbesondere, wenn er detaillierte Angaben zur Implementierung der Serversoftware enthält.
Zu viele Details im Server-Header sind wegen möglicher Auswirkungen auf die Antwortlatenz und aus dem oben genannten Sicherheitsgrund nicht ratsam.
Ob das Verschleiern der Informationen in diesem Header einen nennenswerten Vorteil bietet, ist umstritten, da sich Serversoftware auch auf andere Weise identifizieren lässt.
Ein robusterer Ansatz für die Serversicherheit besteht im Allgemeinen darin, die Software regelmäßig zu aktualisieren oder bekannte Sicherheitslücken durch Patches zu schließen.
| Header-Typ | Antwort-Header |
|---|
Syntax
Server: <product>
Direktiven
<product>-
Der Name der Software oder des Produkts, die bzw. das die Anfrage verarbeitet hat. Üblicherweise in einem Format ähnlich dem von
User-Agent.
Beispiele
Server: Apache/2.4.1 (Unix)
Spezifikationen
| Spezifikation |
|---|
| HTTP Semantics # field.server |
Browser-Kompatibilität
Siehe auch
Allow- HTTP Observatory
- Offenlegung von Informationen über HTTP-Header verhindern – OWASP Secure Headers Project