C04-T017 · En-têtes HTTP de sécurité

Suppression X-Powered-By

X-Powered-By révèle souvent le runtime et parfois sa version.

Comment lire le résultat

Le contrôle automatisé porte sur les réponses ou éléments mesurés dans le rapport. Un état « observé » ne démontre pas à lui seul que le contrôle est conforme.

Ce qu’il faut corriger

Masquez l’en-tête FastCGI dans nginx et désactivez expose_php dans les directives PHP Plesk.

Étapes de correction

Dans le rapport, ouvrez le contrôle C04-T017 et relevez son statut, sa valeur mesurée, son URL et sa preuve. Si la mesure est absente, complétez le contrôle avant de corriger.
Ouvrez Plesk > Apache & nginx > Directives nginx supplémentaires, puis Plesk > Paramètres PHP > Directives supplémentaires et notez sa configuration actuelle.
Masquez l’en-tête FastCGI dans nginx et désactivez expose_php dans les directives PHP Plesk.
Vérifiez le parcours concerné et relancez C04-T017 dans AxiSecurity.

Preuve attendue

comparez les en-têtes réels de la page publique et d’une page connectée.

Exemple de configuration

# Directives nginx supplémentaires
fastcgi_hide_header X-Powered-By;

# Directives PHP supplémentaires
expose_php = Off

Vérifier la correction

Exécutez cette vérification depuis un poste autorisé ou votre serveur d’administration, puis relancez AxiSecurity.

curl -sI https://VOTRE-DOMAINE.TLD | grep -i '^x-powered-by:'