end0tknr's kipple - 新web写経開発

http://d.hatena.ne.jp/end0tknr/ から移転しました

セキュリティの観点での apache httpd.conf の設定ポイント

UserDir disabled

ユーザ毎のウェブディレクトリ - Apache HTTP サーバ バージョン 2.2
UserDir は、各ユーザがホームディレクトリをウェブサイトとして構築できる為、控えましょう。 ( http://example.com/~username )

TraceEnable Off - HTTP TRACEメソッドを無効化

以前の↓こちらのエントリに記載している通りです
apache 2.2.22のHTTP TRACEメソッドをOFFる - end0tknrのkipple - web写経開発

Options -Indexes - ディレクトリ リストを非表示

ファイルを表示されることで、穴のあるメンテナンスしていないファイルを見つけられると、都合が悪いですよね

旧) Options Indexes
新) Options -Indexes

ServerSignature Off , ServerTokens Prod - webサーバのバージョン情報は最低限に

穴の残ったapacheのバージョンであることがバレると、突かれますよね。

ServerSignature Off
ServerTokens Prod

(その他)apacheのデフォルト値に頼らない

httpd.confのデフォルトの状態では、記載されていない設定項目も多くあります。
将来、デフォルト値の変更にも備えて、必要な設定項目(key/value)はhttpd.confに記載しましょう