8.5. Sécurisation des serveurs HTTP

Procédure

• Pour désactiver les chaînes de version, modifiez l'option de configuration server_tokens:

  server_tokens off;

  Cette option arrête l'affichage de détails supplémentaires tels que le numéro de version du serveur. Cette configuration n'affiche que le nom du serveur dans toutes les requêtes servies par Nginx, par exemple :

  $ curl -sI http://localhost | grep Server
  Server: nginx

• Ajouter des en-têtes de sécurité supplémentaires qui atténuent certaines vulnérabilités connues des applications web dans des fichiers conf spécifiques de /etc/nginx/:

  • Par exemple, l'option d'en-tête X-Frame-Options interdit à toute page extérieure à votre domaine d'encadrer tout contenu servi par Nginx, ce qui atténue les attaques par détournement de clics :

    add_header X-Frame-Options "SAMEORIGIN";

  • Par exemple, l'en-tête x-content-type empêche le reniflage du type MIME dans certains navigateurs plus anciens :

    add_header X-Content-Type-Options nosniff;

  • Par exemple, l'en-tête X-XSS-Protection permet le filtrage des scripts intersites (XSS), qui empêche les navigateurs de rendre un contenu potentiellement malveillant inclus dans une réponse de Nginx :

    add_header X-XSS-Protection "1; mode=block";

• Vous pouvez limiter les services exposés au public et limiter ce qu'ils font et acceptent des visiteurs, par exemple :

  limit_except GET {
      allow 192.168.1.0/32;
      deny  all;
  }

  L'extrait limitera l'accès à toutes les méthodes, à l'exception de GET et HEAD.

• Vous pouvez désactiver les méthodes HTTP, par exemple :

  # Allow GET, PUT, POST; return "405 Method Not Allowed" for all others.
  if ( $request_method !~ ^(GET|PUT|POST)$ ) {
      return 405;
  }

• Vous pouvez configurer SSL pour protéger les données servies par votre serveur web Nginx, en envisageant de les servir uniquement via HTTPS. En outre, vous pouvez générer un profil de configuration sécurisé pour activer SSL dans votre serveur Nginx à l'aide du générateur de configuration SSL de Mozilla. La configuration générée garantit que les protocoles vulnérables connus (par exemple, SSLv2 et SSLv3), les algorithmes de chiffrement et de hachage (par exemple, 3DES et MD5) sont désactivés. Vous pouvez également utiliser le test du serveur SSL pour vérifier que votre configuration répond aux exigences de sécurité modernes.