Apache（php-fpm + Apache 2.4）で何を設定すればいいのかわからなかったので調べてみた

$ perl nikto.pl -host http://www.XXXXXXXXXXX
- ***** SSL support not available (see docs for SSL install) *****
- Nikto v2.1.5
---------------------------------------------------------------------------
+ Target IP:          XXX.XXX.XXX.XXX
+ Target Hostname:    www.XXXXXXXXXXX
+ Target Port:        80
+ Start Time:         2018-12-19 02:14:17 (GMT9)
---------------------------------------------------------------------------
+ Server: Apache
+ Uncommon header 'link' found, with contents: <https://www.XXXXXXXXXXX/index.php?rest_route=/>; rel="https://api.w.org/"
+ Uncommon header 'x-frame-options' found, with contents: SAMEORIGIN
+ Uncommon header 'x-xss-protection' found, with contents: 1; mode=block
+ Uncommon header 'x-content-type-options' found, with contents: nosniff
+ No CGI Directories found (use '-C all' to force check all possible dirs)
+ DEBUG HTTP verb may show server debugging information. See http://msdn.microsoft.com/en-us/library/e8z01xdh%28VS.80%29.aspx for details.
+ Server leaks inodes via ETags, header found with file /readme.html, fields: 0x283f 0x5727e64044340
+ 6545 items checked: 0 error(s) and 6 item(s) reported on remote host
+ End Time:           2018-12-19 02:14:54 (GMT9) (37 seconds)
---------------------------------------------------------------------------
+ 1 host(s) tested

$perl nikto.pl -host https://www.XXXXXXXXXXX -ssl
- Nikto v2.1.5
---------------------------------------------------------------------------
+ Target IP:          XXX.XXX.XXX.XXX
+ Target Hostname:    www.XXXXXXXXXXX
+ Target Port:        443
---------------------------------------------------------------------------
+ SSL Info:        Subject: XXXXXXXXXXXXXXXXXXXXXXXXXXX
                   Ciphers: XXXXXXXXXXXXXXXXXXXXXXXXXXX
                   Issuer:  XXXXXXXXXXXXXXXXXXXXXXXXXXX
+ Start Time:         2018-12-20 00:43:35 (GMT9)
---------------------------------------------------------------------------
+ Server: Apache
+ Uncommon header 'x-frame-options' found, with contents: SAMEORIGIN
+ Uncommon header 'x-xss-protection' found, with contents: 1; mode=block
+ Uncommon header 'x-content-type-options' found, with contents: nosniff
+ Root page / redirects to: https://www.XXXXXXXXXXX
+ No CGI Directories found (use '-C all' to force check all possible dirs)
+ Hostname 'www.XXXXXXXXXXX' does not match certificate's CN 'XXXXXXXXXXXXXXXXXXXXXXXXXXX'
+ Uncommon header 'link' found, with contents: <https://www.XXXXXXXXXXX/index.php?rest_route=/>; rel="https://api.w.org/"
+ DEBUG HTTP verb may show server debugging information. See http://msdn.microsoft.com/en-us/library/e8z01xdh%28VS.80%29.aspx for details.
+ Server leaks inodes via ETags, header found with file /readme.html, fields: 0x283f 0x5727e64044340
+ Cookie wordpress_test_cookie created without the httponly flag
+ 6545 items checked: 0 error(s) and 8 item(s) reported on remote host
+ End Time:           2018-12-20 00:45:20 (GMT9) (105 seconds)
---------------------------------------------------------------------------
+ 1 host(s) tested

# Rootディレクトリの設定
ServerRoot "/etc/httpd"

# Apacheで使用するポート
Listen 80

# conf.modules.dディレクトリ配下にあるconfファイルを読み込む
Include conf.modules.d/*.conf

# Apacheで使用するUserとGroup
User apache
Group apache

# 連絡先メールアドレス
ServerAdmin root@localhost

# Rootディレクトリ配下の全ディレクトリへの反映 
<Directory />
    # 上位ディレクトリの設定内容を下位ディレクトリに反映。　変更できる許可を与えない（none）
    AllowOverride none
    # ディレクトリへのアクセスを拒否
    Require all denied
</Directory>

# コンテンツ配置ディレクトリの指定
DocumentRoot "/var/www/html"

# VirtualHostの設定(PORT 番号：80の場合)
<VirtualHost *:80>

    # コンテンツ配置ディレクトリの設定
    <Directory "/var/www/html">
        # ファイル一覧表示の禁止、シンボリックリンクのファイルへの参照を許可
        Options -Indexes +FollowSymLinks
        # 上位ディレクトリの設定値を、下位ディレクトリに反映。　変更できる許可を与える（All）
        AllowOverride All

        # 拡張子(html|php)の一致したファイルの処理
        <FilesMatch \.(html|php)$>
            # php-fpmサーバーへ処理を譲渡
            SetHandler "proxy:unix:/var/run/php-fpm/php-fpm.sock|fcgi://localhost"
        </FilesMatch>

        ####################
        # .htaccessの設定
        ####################
        # .htpasswordの格納場所
        AuthUserFile /etc/httpd/conf/.htpasswd
        # Groupの設定(なし)
        AuthGroupFile /dev/null
        # パスワード入力時に求められるメッセージ
        AuthName "Please enter your ID and password"
        # Basic認証
        AuthType Basic
        # user xxxしかアクセスできないようにする
        require user xxx
    </Directory>

    # SSLを設定すると、Rootディレクトリ直下に認証用のプラグインがおかれる事がある
    # SSLで１回でも認証を終えたら、以下ディレクトリは削除しても構わないので、削除しておく
    # しかし、ディレクトリが作られた時のトラブルを避けるため、念の為アクセス拒否をしておく
    <Location "/.well-known/">
            <RequireAll>
                # ディレクトリへのアクセスを拒否
                Require all denied
            </RequireAll>
    </Location>

    # httpエラーログの出力場所
    ErrorLog "logs/http_error_log"

</VirtualHost>

# コンテンツ配置ディレクトリにファイルがない場合の読み込み先ファイル
DirectoryIndex index.html index.php

# .ht系(.htaccessや.htpassword等)のファイルはコンテンツ配置ディレクトリに置かない
# しかし、ファイルが置かれた時のトラブルを避けるため、念の為アクセス拒否もしておく
<Files ".ht*">
    Require all denied
</Files>

# エラーログの出力場所
ErrorLog "logs/error_log"

# ログ出力レベルの設定(場合によって設定変更すること)
LogLevel warn

# アクセスログの出力フォーマットの設定
<IfModule log_config_module>
    LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\"" combined
    LogFormat "%h %l %u %t \"%r\" %>s %b" common

    <IfModule logio_module>
      LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\" %I %O" combinedio
    </IfModule>

    CustomLog "logs/access_log" combined
</IfModule>

# cgi-binでcgiを動かす予定がない場合はコメントアウトする
#<IfModule alias_module>
#    ScriptAlias /cgi-bin/ "/var/www/cgi-bin/"
#</IfModule>
#<Directory "/var/www/cgi-bin">
#    AllowOverride None
#    Options None
#    Require all granted
#</Directory>

# Apache側で認識する拡張子を設定 
# /etc/mime.typesを参照するようにしているので、mime.typesにないものだけ記述
<IfModule mime_module>
    TypesConfig /etc/mime.types
    AddType application/x-compress .Z
    AddType application/x-gzip .gz .tgz
    AddType text/html .shtml
    AddOutputFilter INCLUDES .shtml
</IfModule>

# Apache側で強制的にUTF-8に変換するのを止める
#AddDefaultCharset UTF-8

# ファイルの内容を参照してMIMEタイプを自動判断(ファイルDL時の文字化けを防ぐ)
<IfModule mime_magic_module>
    MIMEMagicFile conf/magic
</IfModule>

# 一度読み込んだ静的なファイル（cssとかhtml、js）は再度読み込まずにキャッシュに貯め込む
# onにするとキャッシュからデータを取得するため処理速度が向上する
EnableSendfile on

# conf.dディレクトリ配下にあるconfファイルを読み込み
IncludeOptional conf.d/*.conf

# Apacheのバージョンを隠す
ServerTokens Prod

# クリックジャッキング対策を行う
Header always append X-Frame-Options SAMEORIGIN

# XSS対策を行う
Header set X-XSS-Protection "1; mode=block"
Header set X-Content-Type-Options nosniff

# XST対策を行う
TraceEnable Off

# mod_autoindex関連の設定
# ファイル一覧表示は禁止するので、ファイル内容を削除する
# (Apacheのアップデート等でファイルが復活する可能性があるため、ファイル削除ではなく、ファイルの中身を削除する)

# Apacheのデフォルトトップページ表示用。ファイルの内容を削除する
# (Apacheのアップデート等でファイルが復活する可能性があるため、ファイル削除ではなく、ファイルの中身を削除する)

# VirtualHostの設定(PORT 番号：443の場合)
<VirtualHost _default_:443>
    # SSLプロトコル、SSLProxyプロトコル TLS1.2に固定する
    SSLProtocol -all +TLSv1.2
    SSLProxyProtocol -all +TLSv1.2

    # SSLサーバー証明書の場所
    SSLCertificateFile /etc/letsencrypt/cert.pem
    # SSLサーバー証明書のペアキーの場所
    SSLCertificateKeyFile /etc/letsencrypt/privkey.pem
    # CSPSSLの中間証明書の場所
    SSLCertificateChainFile /etc/letsencrypt/chain.pem

    # あとは、httpd.confの<VirtualHost *:80>の設定を追記
</VirtualHost>

Options -Indexes

Require all denied
Require all granted

ServerTokens Prod

Header always append X-Frame-Options SAMEORIGIN

Header set X-XSS-Protection "1; mode=block"
Header set X-Content-Type-Options nosniff

TraceEnable Off

SSLProtocol -all +TLSv1.2
SSLProxyProtocol -all +TLSv1.2

# phpのバージョンを隠す
expose_php = Off

; unix socketを使用する
listen = /var/run/php-fpm/php-fpm.sock
; sockファイルのユーザーとグループ、権限を指定する（Apacheのユーザーと合わせる必要あり）
listen.owner = apache
listen.group = apache
listen.mode = 0660

; 上記sockファイルをapacheユーザーで作成するために以下はコメントアウトする
; listen.acl_users = apache,nginx

expose_php = Off