Cybersécurité externe · Sous-domaines publiés · règle CYB-SURF-02

Les serveurs n'annoncent pas leur version logicielle

En bref : Aucun en-tête Server ou X-Powered-By n'annonce de numéro de version.

Gravité : Mineure

Pourquoi c'est important

Un attaquant sait aussitôt quelle faille connue essayer, sans même chercher. Masquer la version ne corrige rien : il faut aussi tenir les logiciels à jour.

L'écart tel que le rapport l'écrit : Vos serveurs annoncent leur logiciel et sa version

Comment corriger

Masquez le numéro de version dans les en-têtes Server et X-Powered-By, puis vérifiez que chaque composant est à jour.

Qui s'en charge : votre hébergeur · effort : quelques minutes

ServerTokens Prod
ServerSignature Off

server_tokens off;

expose_php = Off

La source

RFC 9110, HTTP Semantics (STD 97), juin 2022, Section 10.2.4 « Server »

An origin server SHOULD NOT generate a Server header field containing needlessly fine-grained detail [...] potentially reveal internal implementation details that might make it (slightly) easier for attackers to find and exploit known security holes.

Lire la source

Source vérifiée le 04/11/2026. Le rapport constate un écart à cette règle ; il ne rend pas d'avis juridique.

Dans la même catégorie

• Les sous-domaines publiés servent un certificat valide

Tous les points du volet Cybersécurité externe