Configuración mínima del servidor web

El principio de la configuración mínima es simple: un servidor debería tener encendido solo lo que el sitio necesita para funcionar. Un módulo cargado que nadie usa sigue ahí: recibe peticiones, tiene su propio código y sus propios fallos, y hay que actualizarlo aunque ninguna página lo toque. Lo mismo pasa con un método HTTP que la aplicación nunca envía o con un listado de carpetas que el sitio no publica a propósito.

Quien audita no apaga nada por su cuenta. Compara dos columnas, lo que está activo y lo que el sitio usa, y la diferencia es el hallazgo. La remediación es quitar lo sobrante, no esconderlo.

Algunos módulos existen para quien administra el servidor, no para quien visita el sitio: uno muestra estadísticas internas de peticiones y trabajadores, otro vuelca la configuración. Si además hay una ruta pública que los activa y la regla de acceso deja pasar a cualquiera, esa información queda a la vista de todos. No es un ataque: es el servidor describiéndose a sí mismo.

Abre modulos.txt y lee la columna de notas. Fíjate también en httpd-extracto.txt, donde una ruta del sitio activa una función de estado del servidor.

El inventario del equipo de plataforma marca, módulo por módulo, si el sitio lo usa. El informe necesita el número exacto de módulos cargados que no hacen falta, porque ese número es el alcance de la remediación y la forma de comprobar después que se cerró: tras el cambio, la lista debería encogerse en esa misma cantidad.

El servidor responde a la consulta de opciones con la lista de métodos que acepta, y el registro de accesos dice cuáles usa de verdad la aplicación. Un método aceptado y nunca usado no aporta nada y sí amplía lo que hay que defender; uno de ellos, pensado para diagnóstico, devuelve al cliente la propia petición y se apaga en producción por norma.

Abre metodos.txt, compara las dos listas y decide la remediación.

La configuración más cuidadosa no arregla un componente que su fabricante ya no actualiza: sin soporte no hay parches, y cualquier fallo nuevo se queda abierto para siempre. Por eso el informe de una revisión de servidor siempre incluye el inventario y su estado de soporte, y la remediación de uno sin soporte es migrar, no «tener cuidado».

Abre inventario.txt. La columna de soporte es la hoja del propio cliente, y es la fuente de esta tarea.