Faut-il supprimer l'en-tête X-Magento-Cache-Debug ?

Comme la documentation Magento l’indiquait, si on était en mode production, alors on ne voyait pas le header X-Magento-Cache-Debug….

C’était vrai avant 2019, le code du fichier varnish6.vcl était le suivant :

sub vcl_deliver {
if (resp.http.X-Magento-Debug) {
if (resp.http.x-varnish ~ " ") {
set resp.http.X-Magento-Cache-Debug = "HIT";
set resp.http.Grace = req.http.grace;
} else {
set resp.http.X-Magento-Cache-Debug = "MISS";
}
} else {
...

sub vcl_deliver {

if (resp.http.X-Magento-Debug) {

if (resp.http.x-varnish ~ " ") {

set resp.http.X-Magento-Cache-Debug = "HIT";

set resp.http.Grace = req.http.grace;

} else {

set resp.http.X-Magento-Cache-Debug = "MISS";

}

} else {

...

Depuis, la configuration Varnish fournie par Magento2 est la suivante :

sub vcl_deliver {
if (resp.http.x-varnish ~ " ") {
set resp.http.X-Magento-Cache-Debug = "HIT";
set resp.http.Grace = req.http.grace;
} else {
set resp.http.X-Magento-Cache-Debug = "MISS";
}
...

sub vcl_deliver {

if (resp.http.x-varnish ~ " ") {

set resp.http.X-Magento-Cache-Debug = "HIT";

set resp.http.Grace = req.http.grace;

} else {

set resp.http.X-Magento-Cache-Debug = "MISS";

}

...

Bref, on reçoit le header X-Magento-Cache-Debug même quand le Magento est en mode production.

Est-ce que c’est gênant ?

Certains sites importants laissent l’information, d’autres non. On peut imaginer que cette information peut faciliter les dénis de service.

Dans tous les cas, il suffit de remettre la condition de l’ancienne version pour supprimer l’information…