Verwijder WordPress en Joomla versienummer

In onze vorige beveiliging posts hebben we het gehad over het verwijderen van de versienummers van je CMS systeem.

Versienummers vertellen een hacker namelijk exact welke versie je draait en dat is handig! Want nu weet hij exact (zelfs als je de nieuwste versie draait) welke vunerabilities en zijn (en juist niet zijn) zodat hij hier doelgericht misbruik van kan maken.

Kortom: de versienummer willen we weg halen. Maar hoe doen we dat?

WordPress versienummer verwijderen:

In WordPress kun je op diverse manieren je versienummer verwijderen. De gemakkelijkste manier is om een plug-in te installeren die dit voor je doet.

Daarnaast biedt een plugin vaak nog meer beveiligingsmogelijkheden die ook zeer welkom zijn. Het enige nadeel aan een plug-in is dat deze in sommige gevallen je website licht kan vertragen (als deze niet goed gebruik maakt van de WordPress API) en dat deze zelf ook up-to-date gehouden moet worden.

Plugins die ik persoonlijk kan aanraden zijn:

• iThemes Security (verwijderd versienummer niet uit RSS)
• Remove Version
• WP Better Security

Om alleen het versienummer te verwijderen is het ook afdoende om een code snippet toe te voegen aan de functions.php file die zich bevindt in de root van je theme. Er zijn diverse code snippets in de omloop maar pas op. De meeste snippets verwijderen alleen het versienummer in de header van je site en niet in je RSS feed.

De correcte code die hiervoor gebruikt kan worden is:

add_filter( 'the_generator', '__return_null' );

Let op dat je ook altijd het ReadMe (txt en html) bestanden uit de root van je WordPress website verwijderd omdat daar ook de versienummer in vermeld staan.

Joomla versienummer verwijderen:

Ook het Joomla CMS systeem toont zijn versienummer op diverse plaatsen incl. de RSS / ATOM feeds.

Het Joomla versienummer kan gemakkelijk verwijderd worden door onderstaande code toe te voegen aan de index.php template file. De locatie waar de code geplaatst wordt is van cruciaal belang voor de werking. Probeer de code te plaatsen achter de //no direct access tag:

JFactory::getDocument()->setGenerator('');

De plugin ByeByeGenerator is echter een kleine plugin die de generator code overal verwijderd (op de site, backend, RSS etc. De gebruiker kan ervoor kiezen om de generator code te modificeren of om deze compleet te verwijderen. Het grote voordeel aan deze plugin is dat de generator code altijd weg is ongeacht hoeveel updates u uitvoert op uw Joomla CMS, templates of plugins.

Plug-in versienummers:

Vaak vertellen plug-ins in de source code ook exact welk versienummer ze hebben. Ook de code van plug-ins kan gebruikt worden om je website te hacken. Verwijder bij voorkeur ook alle versienummers van plug-ins. Meestal vereist dit dat core files aangepast moeten worden. Het nadeel hieraan is dat de aanpassingen weer ongedaan gemaakt worden na een update. De keuze is uiteraard aan u of u dit per plug-in keer op keer wilt doen.

Conclusie:

Hoewel automatische bots helemaal niet kijken naar het versienummer maar simpelweg elke mogelijke exploit proberen is het verwijderen van je versienummer een kleine moeite die een directe aanval op je site wel wat lastiger maakt. De code is klein, simpel en vertraagt niet. Als je een beveiligingsplug-in gebruikt dan maak je je website als geheel een stuk veiliger.

Mijn advies is om altijd een commerciële beveiligingsplug-in te gebruiken en om via deze ook het versienummer te laten verwijderen. Als de beveiligingsplug-in alleen dit niet afdoende doet dan kan altijd een losse code snippet gebruikt worden.

Keep on rolling….