PHPのバージョン(X-Powered-By)をレスポンスヘッダで返却させない方法

投稿者 : OSCA

[PR] "東野・岡村の旅猿"で登場したロケ地を紹介するファンサイト「あの場所へ行こう!」はこちら。

 PHP をインストールしてすぐのデフォルトの状態だと、次のように HTTP レスポンスヘッダー X-Powered-By に PHP のバージョン情報を設定して返却するようになっています。 また HTTP サーバーに Apache を利用している場合は、Server ヘッダにも PHP のバージョンが表示される場合もあります。

HTTP/1.1 200 OK
Date: Wed, 3 Jun 2018 13:46:59 GMT
Server: Apache/2.4.6 (CentOS) OpenSSL/1.0.2k-fips PHP/7.1.6
X-Powered-By: PHP/7.1.6
Content-Type: text/html; charset=UTF-8
(以下略)

 しかしセキュリティ上は「サーバーになんのソフトウェアがインストールされているか?」は可能な限り秘密にしておくことが好ましく、できれば X-Powered-By ヘッダを返却しないようにした方が良さそうです。 それでは、どのように X-Powered-By ヘッダを返却しないようにできるかを解説していきます。

php.ini の設定

 PHP の設定ファイル php.ini の設定項目 expose_php の設定を変更することで、X-Powered-By ヘッダを返却しないようにできます。 次のように expose_php の値を off に設定するだけです。

expose_php=Off

 設定変更後は HTTP サーバーを再起動することを忘れないでください。 これで X-Powered-By ヘッダが返却されないようになりました、また Server ヘッダにも PHP のバージョンが含まれていた場合は、それも返却されないようになったのではないでしょうか。

おわりに

 本稿では、PHP における X-Powered-By ヘッダを返却しないようにする方法について開設しました。 PHP をインストールした直後に設定するように心掛けてください。

PHP環境構築トップページへ戻る

PHPのトップへ戻る

著者 : OSCA

OSCA

Java, PHP 系のWEBエンジニア。 WEBエンジニア向けコミュニティ「WEBエンジニア勉強会」を主催。 個人として何か一つでも世の中の多くの人に使ってもらえるものを作ろうと日々奮闘中。
@engineer_osca