Websites herunterladen, die cgit nutzen

Über cgit

Auf einem Repository-Browser baut niemand ein Geschäft auf. cgit ist ein kleines, in C geschriebenes Programm, das Git-Repositories als schlichte Seiten darstellt, und wenn ein Web-Crawl auf eine solche Installation stößt, hat er etwas anderes gefunden als die Visitenkarte eines Unternehmens: eine Maschine, die Quellcode speichert und für die Öffentlichkeit erreichbar ist.

Stand Oktober 2026 erfassen wir das Programm auf 32 Hosts. Die Kategorie, in der wir es führen, ist eine Verlegenheitslösung, denn ein Repository-Viewer ist kein Content-System, kein Framework und kein Shop, und am treffendsten beschreibt man ihn als Infrastruktur. Eine Domain, die einen solchen Viewer ausliefert, gehört meist zum eigenen Server eines Projekts, zum Mirror einer Distribution oder zu einer Entwicklungsabteilung, die beschlossen hat, dass ihre Historie nicht auf einer fremden Plattform liegen soll.

An der Streuung der Versionen zeigt sich, wie diese Maschinen betrieben werden. Wir verzeichnen 5 verschiedene Versionen, wobei Version 1.2.3 am häufigsten erfasst ist, und bei einer Verbreitung dieser Größe bedeutet diese Mischung, dass Installationen einzeln kompiliert oder paketiert und dann aktualisiert werden, wenn jemand daran denkt. Für ein Programm, das als Binärdatei hinter einem Webserver ausgeliefert wird, gibt es keinen automatischen Update-Pfad, und so altern die Versionsstrings im Tempo des Administrators und nicht im Tempo des Projekts. cgit steht unter der Lizenz GPL v2, stammt aus dem Jahr 2006 und hatte damit viel Zeit, eine solche Streuung anzusammeln.

Zwei Gruppen von Forschern interessieren sich für die daraus entstehende Liste. Die einen kartieren selbst gehostete Entwicklungsinfrastruktur, denn ein öffentlicher Repository-Browser ist ein verlässliches Kennzeichen einer Organisation, die ihre Werkzeuge selbst betreibt, statt sie zu mieten, und dieses Merkmal korreliert mit dem Beschaffungsverhalten, der Zahl der Entwickler und einer Vorliebe für Open Source im übrigen Stack. Die anderen arbeiten im Sicherheitsbereich, denn ein offen erreichbarer Repository-Viewer veröffentlicht Commit-Historie, Namen und Adressen von Autoren, Branch-Namen und gelegentlich Konfiguration, die nie dafür gedacht war, von irgendwem indexiert zu werden.

Die Untererfassung ist hier strukturell und nicht zufällig. Viele Instanzen liegen in internen Netzen, auf Subdomains, auf die nichts verlinkt, oder hinter einem authentifizierenden Proxy, und ein Crawler, der öffentlichen Links folgt, erreicht sie nie. Selbst eine öffentliche Instanz läuft oft unter einem Pfad, auf den keine Seite hinweist. Was wir guten Gewissens anbieten können, ist die Menge der öffentlich verlinkten und öffentlich antwortenden Installationen, jeweils mit Host, mit dem Versionsstring, sofern einer sichtbar ist, und mit dem Crawl-Datum.

Eine einzelne Domain darauf zu prüfen, ob sie einen Repository-Browser betreibt, klärt eine Frage, die sich niemand stellt. Die Frage, welche Hosts im Internet einen betreiben, welche davon auf Unternehmens- statt auf privaten Domains liegen und welche auf Builds festhängen, die schon seit Jahren nicht mehr aktuell sind, hat dagegen eine Antwort, und diese Antwort passt nur in eine Liste.