Versão do servidor fora dos cabeçalhos
Falha se o cabeçalho Server mostrar um número de versão, como nginx/1.18.0, ou se existir qualquer cabeçalho X-Powered-By.
Por que importa
A versão exata facilita procurar vulnerabilidades conhecidas daquela versão. Não é uma falha por si só, mas é informação que não precisa ser pública.
Como corrigir
No nginx, use server_tokens off. No Express, use app.disable('x-powered-by'). Em proxies, remova o cabeçalho X-Powered-By da resposta.
Como conferir a correção
HTTP-004
curl -sI https://seu-app.com | grep -iE '^(server|x-powered-by):'