"X-Powered-By"ヘッダーを削除するとHTTPレスポンスから "Server"ヘッダーが自動的に削除される

Question

NPMモジュールを使用してX-Powered-Byを取り除いていますが、確かにServerヘッダーはありません。私はRemove headers for securityを読んだが、Serverヘッダーを取り除く方法はわからない。helmetモジュールを使用している。

Answer 1

簡潔に：ヘルメットはServerヘッダーに触れません。

私はヘルメットを維持しており、その中にServerヘッダーが関わるものは何もありません。ヘッダーが設定されていない場合、ヘルメットはそれを設定しません。ヘッダーが設定されている場合、Helmetはそれを削除しません。

Expressは、私が知る限り、Serverヘッダーを設定しません。これは、このヘッダが他のどこかから来ていることを意味します。おそらくnginxのようなあなたのExpressサーバの前にあるサーバでしょう。

あなたはこのようなことを試すことができますが、あなたのサーバの前に何かがある場合、これはうまくいかないかもしれません。

app.use(function (req, res, next) { 
    res.removeHeader('Server'); 
    next(); 
}); 

これらのヘッダーを削除するセキュリティ上の利点は、とにかく、私の意見では最小限です。攻撃者の非常に小さなサブセット、つまりこれらのヘッダーを見て、あなたのサイトにどのような技術力があるのか​​を理解し、攻撃を試み、そしてあきらめる人たちを止める。攻撃者はあなたのサイトがExpressの脆弱性であることを知る他の兆候があります。エクスプレス特有ではない攻撃も試みる可能性があります。エクスプレスだとわからなくてもエクスプレス攻撃を試みるかもしれません！ Expressの主任メンター、Doug Wilson shares this sentiment