apacheのやったほうがいい設定メモ
apacheでいつも忘れそうになる基本的なやっといた方がいい設定などを追記しておく自分用のページになります。
あったベースで追記していきます。追記したら下部に履歴を残します。
apacheのバージョン表示関連
エラーページなどに表示されるバージョンを表示しない。
ServerSignatureはサーバが生成するドキュメントに表示されるバージョン表示の制御
ServerSignature Off
レスポンスヘッダ情報に含まれるバージョン情報を表示しない。
ServerTokensはレスポンスヘッダに表示されるapacheのバージョン情報の制御
ServerTokens Prod
TRACEメソッドの無効化（XST対策）
TraceEnable Off
これが有効になっているとクロスサイトトレースという脆弱が起きる可能性がある。
クリックジャッキング対策
Header append X-Frame-Options SAMEORIGIN
nginxの設定で存在をしったこちらは自サイトのフレームを他サイトに読み込ませない設定です。ページ内のフレームに自サイトのページを表示する。
XSS対策
Header set X-XSS-Protection "1; mode=block"
Header set X-Content-Type-Options nosniff
こちらもnginxのときに学んだ検知したときにブロックする。
サーバがContent-Typeを指定しているのにHTMLだったり認識してしまうのを避ける指定みたいです。
PHPなどのバージョン情報をapache側でも表示しないように制御しておく
Header unset X-Powered-By
どちらかというとphp側のphp.iniでも非表示にしてapacheでも一緒に両方設定しておくのがいいと思う。
とりあえずセキュリティ関連から。
nginxのときに学んだEtagはまたApacheでも調べてみないと。
その他わかったことがあったら追記していきます。
コメント
コメントを投稿