L'idée principale est de faire attention a ce que vous exposez comme informations public sur votre serveur Apache2.

Dans le fichier de sécurité, ici Debian pour l'exemple, /etc/apache2/conf-available

Ensuite, passer ServerTokens en Prod au lieu d'OS ainsi que Server Signature à Off au lieu de On.

N'hesitez pas a le faire dés le début sur votre environnement de dév pour vérifier que cela ne posera pas de problemes. J'ai vu une fois que la directive ServerTokens a Prod avait posé un soucis mais j'ai plus en tête quoi. :D

Il faut vivre avec son temps et le http sur port 80 c'est fini. Surtout aujourd'hui avec des solutions tel que let's encrypt qui vous permet d'avoir des certificats SSL/TLS gratuitement. Pourquoi s'en priver? Donc passez vos sites en https et pensez a faire une redirection permanente de l'http vers l'https.

Pour vos redirection, utilisez la directive redirect et non pas rewrite (pour du http vers https par exemple). Pourquoi? parce que la doc dit explicitement que mod_rewrite ne devrait être utiliser qu'en dernier recours et en gros, quand vous n'avez pas accès a la configuration du vhost.

Cette section est incomplètes. Attention aux options Indexes, cela permet de lister le contenue d'un dossier. Il faudra précisé un No Indexes dés que possible. J'ai déjà vu Apache l'avoir par défaut sur le répertoire par défaut (exemple '/var/www'), autant dire que c'est pas top top.

Attention aux protocoles de chiffrements de vos sites web. Par exemple si TLS1 est encore toléré par certains, préconisez TLS2 mais dites non à SSL.

• Faites le tour de l'ensemble des modules non utilisés et désactivés les.
• Nettoyez vos fichiers de config et vhost.
• Les mises à jours régulières, encore et toujours.

La doc apache est plutot simple et généralement clair, je vous conseille de la consulter dés que possible. Nombre de tuto ne suivent pas ce qui est préconisé dans la docs et c'est plutôt triste.