Ce este X-Powered-By?

Definiție X-Powered-By

X-Powered-By este un antet HTTP care dezvaluie tehnologia folosita de server: PHP, ASP.NET, Express etc. Similar cu Server Header, expunerea acestei informatii ajuta atacatorii sa identifice vulnerabilitati specifice. Buna practica este sa-l dezactivezi complet din configuratia serverului.

De ce contează X-Powered-By

Antetul X-Powered-By dezvaluie framework-ul si versiunea exacta a aplicatiei (Express 4.18.2, PHP 8.1.0, ASP.NET 4.8), oferind atacatorilor informatia necesara pentru a selecta exploituri specifice. Eliminarea acestui antet este recomandata de OWASP si este una dintre cele mai simple masuri de hardening, realizabila in cateva secunde.

Cum verifici X-Powered-By

SoftAudit citeste antetul X-Powered-By din raspunsul HTTP si evalueaza nivelul de informatie expusa. Verifica toate paginile testate deoarece unele framework-uri adauga antetul doar pe anumite rute sau tipuri de raspuns.

Greșeli frecvente

Ascunderea X-Powered-By prin setarea unei valori false (de exemplu, schimbarea PHP in ASP.NET) poate crea confuzie dar nu ofera securitate reala — atacatorii isi dau seama rapid din alte indicii. Multi dezvoltatori Node.js/Express uita ca framework-ul adauga implicit acest antet si nu il dezactiveaza in productie.

Bune practici

In Express, adauga app.disable('x-powered-by') sau foloseste helmet. In PHP, seteaza expose_php = Off in php.ini. In Apache, ServerTokens Prod ascunde versiunea dar nu X-Powered-By — acesta trebuie eliminat separat cu Header unset X-Powered-By in configurarea serverului.

Întrebări frecvente

Termeni asociați