HTTP-Header

Moin,
in der htaccess

ServerSignature Off

Hmm vielleicht der Umweg über mod_headers

<IfModule mod_headers.c>  
  Header unset Server  
  Header unset X-Powered-By  
</IfModule>

das in die htaccess

Moment mal, das wird so nichts ohne nähere Infos.

Was für ein Webserver? Welche Version?

Bei einem neueren Apache geht es anders als bei einem älteren.

Und mit "ServerSignature" geht es gar nicht, denn die ist nicht für die Meldung im HTTP-Header verantwortlich, sondern für die Nennung des Hosts und des Webservers auf Fehlerseiten.

Für die Meldung im Header gibt es den Punkt "ServerTokens". Deaktivieren kann man den gar nicht komplett, nur minimieren mit "ServerTokens Prod". Dann wird z.B. nur noch "Apache" gesendet, aber keine Version und keine Module.

Zudem müssen diese Einstellungen, zumindest ServerTokens, in die globale Servereinstellung und nicht in die htaccess, denn sie zählen für den ganzen Server, nicht für einen vHost.

Beispiel: https://beispiel.rocks/beispiel.rocks…speed.de/tuztuz

Die Angabe "Apache/2.4.7 (Ubuntu) Server at https://beispiel.rocks/beispiel.rocks/www.pagespeed.de Port 80" stammt von ServerSignature.

Wie genau das "Apache/2.4.7 (Ubuntu)" angegeben wird entscheidet ServerTokens. Und eben auch, was im Header steht.

Hier ist ServerSignature z.B. off: *** Link veraltet *** , also keine Signatur auf der Seite. Und durch "ServerTokens Prod" nur eine minimale Angabe im Header:

HTTP/1.1 404 Not Found
Date: Sun, 15 Nov 2015 11:07:39 GMT
Server: Apache
Vary: Accept-Encoding
Content-Encoding: gzip
Content-Length: 179
Keep-Alive: timeout=2, max=99

ok, Ubuntu und Debian sind hier fast gleich, ich habe Debian.

Es müsste eine /etc/apache2/conf-enabled/security.conf geben. Wenn nicht, dann die Config vorher aktivieren. Bei Debian ist die per Default aktiv. In der security.conf findest Du dann auch den Punkt für die Einstellung des ServerTokens.

Ok, isp ist eher was für Alex, der hat das ja auch Irgendwo muss es was geben. /etc/apache2/ ist das Original, kann sein, dass isp das wo anders hin packt. Auch kann es sein, dass es im isp diese Trennung in einzelne Configs nicht gibt. Aber irgendwo muss ja die große globale httpd.conf oder apache2.conf sein.

Moin,
das geht über die security.conf, ich hatte das wohl irgendwie falsch verstanden. Die gibt es bei Ubuntu auch und ist auch ein Standard.
Schönen Feierabend.
Alex

htaccess:

Zitat

AddDefaultCharset utf-8

Jau,
gibt auch gleich nen Feierabend :beer:.
Hau rein
Alex