X-Powered-By is een regel die jouw server meestuurt en waarin staat met welke software, en vaak welke versie, je website werkt. Bezoekers zien hem niet, maar scanners en nieuwsgierigen wel. Op een PHP-site toont hij vaak de exacte PHP-versie, en die informatie hoef je niet weg te geven.
Wat is de X-Powered-By-header?
De header gaat mee met de pagina, is onzichtbaar voor bezoekers, maar makkelijk te lezen met de ontwikkelaarstools van een browser, scanners en nieuwsgierigen. Bij een PHP-site toont hij vaak de exacte PHP-versie.
Elk webantwoord draagt HTTP-headersEen HTTP-header is een regel met extra informatie die de browser van je bezoeker en de server van je website achter de schermen naar elkaar sturen.: kleine stukjes informatie die vóór de pagina zelf worden verstuurd. De meeste zijn technisch en onschuldig, zoals het soort inhoud of hoe lang je het mag bewaren. X-Powered-By is een informatieve header. Hij noemt de technologie achter het antwoord, bijvoorbeeld “PHPPHP is de programmeertaal waarmee veel websites, zoals WordPress-sites, hun pagina's maken op het moment dat een bezoeker erom vraagt./8.1.x”.
In PHP wordt de header bepaald door de instelling expose_php, die standaard aanstaat. Staat hij aan, dan zet PHP zijn naam en versie in de antwoorden. Andere platforms gebruiken dezelfde header voor hun eigen naam.
Waarom een versienummer ertoe doet
Een versienummer vertelt een buitenstaander welke bekende fouten voor jou kunnen gelden. Wie sites in bulk controleert, kan “PHP/8.1” afzetten tegen de supportstatus van die tak. Wij doen hetzelfde in de gratis PHP exposure check, die leest wat een site openbaar toont. Een aanvaller heeft geen speciale toegang nodig om deze header te lezen, en hij is het eerste wat een eenvoudige scan ophaalt.
Wat het betekent voor een PHP- of WordPress-site
De header veroorzaakt geen fout. Hij onthult de PHP-versieEen PHP-versie is het nummer van de uitgave van PHP waarop jouw website draait, zoals 8.3., en die versie bepaalt of de tak nog wordt ondersteund. Sites die een oude versie tonen, maken het voor iedereen makkelijk om te zien dat er fixes kunnen ontbreken. Verbergen haalt het gemakkelijke etiket weg, maar niet het onderliggende probleem.
Verbergen verkleint het aanvalsoppervlakHet aanvalsoppervlak is het geheel van plekken waar een aanvaller kan proberen je website binnen te komen, zoals logins, formulieren en plugins. een heel klein beetje en is geen oplossing. Zie het als je naam van de deurbel halen: het helpt een beetje, en het slot moet nog steeds goed zijn.
Zo zie je hem en haal je hem weg
Je kunt de header zelf zien in het netwerktabblad van de ontwikkelaarstools van je browser, onder de responsheaders van de hoofdpagina. Toont de regel “X-Powered-By” PHP en een nummer, dan staat de header aan.
Om hem uit te zetten, zet je expose_php op Off in php.iniphp.ini is het instellingenbestand van PHP, waarin staat hoeveel ruimte en tijd je website krijgt en of foutmeldingen op het scherm verschijnen. en laad je PHP opnieuw, of je vraagt je host dat voor je te doen. Sommige hosts en CDNEen CDN is een netwerk van servers over de hele wereld dat kopieën van je website bewaart, zodat bezoekers hem van dichtbij krijgen.’s laten je de header bij de webserverEen webserver is het programma op een server dat verzoeken van bezoekers aanneemt en pagina's en bestanden terugstuurt. of aan de rand weghalen. Laad na de wijziging de pagina opnieuw en controleer of de regel weg is.
Wanneer je handelt
Kijk welke versie de header toont. Is het een tak die geen fixes meer krijgt, of een versie vóór de opgeloste releases van 21 oktober 2026 (8.2.35, 8.3.36, 8.4.27 of 8.5.12), dan is de header je kleinste zorg. Wat je moet doen is updaten, en onze hulp bij je PHP-versie updaten kan dat plannen met een test op stagingEen stagingomgeving is een afgeschermde kopie van je website waarop je updates uitprobeert voordat ze live gaan. en een plan om terug te draaien. Daarna is het verbergen van de header een redelijk extra. Toont je site alleen inhoud, kijk dan of een website zonder PHP past.
Veelgestelde vragen
Waarom toont mijn site X-Powered-By: PHP?
PHP kan deze header aan zijn antwoorden toevoegen en doet dat standaard via de instelling expose_php. Op zichzelf is hij niet schadelijk, maar hij vertelt iedereen die ernaar vraagt welke PHP-versie je draait.
Hoe haal ik de X-Powered-By-header weg?
Zet expose_php op Off in php.ini, of vraag je host dat te doen. Sommige webservers en CDN's kunnen de header ook uit antwoorden halen. Laad PHP daarna opnieuw en controleer het nog een keer.
Maakt het verbergen van de header mijn site veilig?
Nee. Het maakt het alleen lastiger voor een gewone scanner om je versie te lezen. Een fout in je PHP-versie blijft bestaan. Update PHP en zie het verbergen van de header als een klein extra.
Is de header de enige manier om de PHP-versie te zien?
Nee. Ook andere signalen kunnen hem verraden, zoals gedrag van bestanden, foutmeldingen of standaardpagina's. Daarom is de header niet het eerste wat je moet oplossen.