Wie funktionieren Server-Header?
Wenn Sie eine Website besuchen, sendet Ihr Webbrowser eine Anfrage an den Server, der die Website hostet. Der Server antwortet dann mit einer HTTP-Antwort. Sie besteht aus einer Reihe von Kopfzeilen, den sogenannten HTTP-Headern, und in der Regel einem Inhalt wie einer HTML-Datei. Einer dieser Header ist der Server-Header, der dem Browser Informationen über den Server selbst und die von ihm verwendete Software liefert. Aus dem Server-Header lässt sich zum Beispiel ablesen, welche Art von Serversoftware der Host verwendet, welches Betriebssystem läuft und ob der Server möglicherweise anfällig für bestimmte Arten von Angriffen ist.
Warum sind Server-Header wichtig?
Server-Header sind vor allem für die Sicherheit von Websites wichtig. Ein Server-Header mit genauer Versionsangabe (zum Beispiel „Apache/2.4.1 (Unix)“) kann Angreifern Hinweise darauf geben, ob der Server für bekannte Sicherheitslücken anfällig ist. Deshalb empfiehlt es sich, die Versionsangabe auszublenden, beim Apache-Webserver etwa mit „ServerTokens Prod“, bei nginx mit „server_tokens off“. Wichtiger bleibt aber, die Serversoftware regelmäßig zu aktualisieren.
Welche Informationen sind im Server-Header enthalten?
Was im Server-Header steht, hängt von Server und Konfiguration ab. In der Regel sind es der Name und die Version der Server-Software sowie der Name des Betriebssystems. In einigen Fällen kann der Server-Header auch weitere Informationen enthalten, wie beispielsweise den Namen des Hosting-Unternehmens.
Wie kann ich den Server-Header meiner Website überprüfen?
Wenn Sie Ihre Website überprüfen möchten, um zu sehen, welche Informationen im Server-Header enthalten sind, gibt es verschiedene Tools, die Sie verwenden können. Öffnen Sie zum Beispiel die Entwickler-Tools Ihres Browsers, wechseln Sie auf die Registerkarte „Netzwerk“ und laden Sie die Seite neu. Klicken Sie dann auf die erste Anfrage, das HTML-Dokument. Im Reiter „Header“ sehen Sie die Antwort-Header des Servers, darunter den Server-Header. Auf der Kommandozeile zeigt der Befehl curl -I mit Ihrer Adresse dieselben Angaben, zum Beispiel curl -I https://www.example.com.
