¿Existe un riesgo de seguridad en la existencia de esos encabezados HTTP en las respuestas?

No afectan directamente a la seguridad.

Sin embargo, está filtrando información que puede ser valiosa para un atacante.

Por ejemplo, el atacante puede usar la información contenida en esos encabezados para:

• Determine la versión exacta de squid que se ejecuta en sus sistemas
• Determine el backend de la aplicación (X-Rack-Cache: indica Ruby, así que es más probable que sea Rails o Sinatra)
• Determine los nombres de host internos (es probable que tacoma se refiera al host de calamar frontend) y los puertos
• Proporcione sugerencias sobre la estrategia de almacenamiento en caché de la página (al realizar varias solicitudes e inspeccionar el encabezado de HTTP Age o algunos de los otros encabezados X, puede saber si una solicitud dio como resultado un golpe de caché). >

Entonces, sí, ocultar estos encabezados simplemente va a ocultar los sucesos, no a protegerlos. Pero no tienes que facilitarles el trabajo a los intrusos :)

El concepto en sí no daña la seguridad, pero el contenido podría hacerlo.

Si decidió proteger su sitio con el siguiente encabezado HTTP:

• X-UserIsAdmin: true

entonces dañaría la seguridad.

El uso de encabezados HTTP para su propósito, con información relevante para manejar adecuadamente una solicitud HTTP, por sí solo no debería dañar la seguridad. Simplemente aplique los mismos métodos que usa para cualquier otra comunicación cliente / servidor.

Los encabezados HTTP son contenido al igual que el resto de la respuesta. Si un contenido, encabezados o no, es un problema de seguridad depende del contenido.

X-Runtime header expondrá qué parte de su sitio web es un buen objetivo para los ataques de DOS.