Websites herunterladen, die CherryPy nutzen

Über CherryPy

Ein Web-Framework, das älter ist als der größte Teil des modernen Webs, ist in einem aktuellen Crawl ein seltsamer Fund, und doch taucht CherryPy immer wieder auf. In Python geschrieben und seit 2002 öffentlich verfügbar, gehört es zu einer Generation von Frameworks, die davon ausgingen, dass man einen eigenen Serverprozess betreibt und direkt mit ihm kommuniziert, und genau so arbeitet es auch. Eine darauf aufgebaute Anwendung bringt ihren eigenen Multithread-HTTP-Server mit, statt sich einen von der Umgebung zu leihen, in der sie läuft.

Diese in sich geschlossene Bauweise erklärt, wo das Framework überlebt. Für eine neue Website, die sich an Endkunden richtet, wird es selten gewählt. Treffer finden sich bei internen Tools, Bedienoberflächen von Appliances und Geräten, Control Panels, wissenschaftlicher und messtechnischer Software sowie bei langlebigen Anwendungen, deren Autoren eine schlanke Abhängigkeit wollten und keine Vorgaben eines Frameworks zu Templating oder Datenspeicherung. Hinter einem Treffer steckt deshalb seltener eine Marketing-Website und eher etwas Betriebliches, das zufällig über das Web erreichbar ist.

Stand Oktober 2026 erkennen wir CherryPy auf 162 Websites, und die Streuung der Versionen sagt mehr aus als die Gesamtzahl. Derzeit beobachten wir 16 verschiedene Versionsstrings im Produktivbetrieb, und am häufigsten wird dabei Version 17.4.2 gemeldet. Eine solche Zersplitterung in einem Bestand dieser Größe bedeutet, dass die Deployments auf einer Version festgeschrieben sind, statt neuen Releases zu folgen. Niemand aktualisiert diese Anwendungen nach Plan, weil sie größtenteils auch niemand mehr weiterentwickelt. Sie wurden gebaut, sie haben funktioniert, und man hat sie weiterlaufen lassen.

Genau deshalb hat die Liste kommerziellen und wissenschaftlichen Wert. Eine Framework-Version, die sich nicht mehr bewegt, ist ein Indikator für eine Anwendung, um die sich niemand mehr kümmert, und ein unbeaufsichtigter Dienst, der aus dem Internet erreichbar ist, ist zugleich eine Sicherheitsfrage, eine Chance für eine Migration und ein Risiko für die Infrastruktur. Sicherheitsforscher brauchen den Bestand, um das Ausmaß der Gefährdung abzuschätzen. Hosting- und Beratungsfirmen nutzen ihn, um Modernisierungsaufträge zu finden. Wer eine Python-Laufzeitumgebung pflegt, will wissen, welche Interpreter-Generationen darunter noch am Leben gehalten werden.

Einen Eintrag zum Anbieter gibt es hier nicht, und dieses Fehlen ist aussagekräftig und keine Lücke in unseren Daten. Das Projekt wird seit seinem ersten Release von einer Community unter der Lizenz BSD entwickelt, ohne Unternehmen, ohne Lizenzserver und ohne Download-Register dahinter. Niemand hat eine Kundenliste, die er Ihnen verkaufen könnte, und niemand wusste je, wie viele Installationen es gibt. Das laufende Web zu vermessen, ist die einzige verfügbare Methode.

Die Erkennung hat Grenzen, die wir offen benennen. Wir identifizieren das Framework anhand der Server-Header und Antwortmerkmale, die sein eingebauter Server preisgibt. Ist einem Deployment ein Reverse Proxy vorgeschaltet, der diese Header umschreibt oder entfernt, sehen wir den Proxy und nicht die Anwendung. Mit Versionsstrings verhält es sich genauso: Sie sind nur vorhanden, wenn der Server sie von sich aus offenlegt. Beide Effekte verschieben den sichtbaren Bestand zum weniger sorgfältig konfigurierten Teil der installierten Basis, und da die Verzerrung nur in eine Richtung wirkt, sind unsere Zahlen eine Untergrenze.

Der Export enthält für jede Domain den beobachteten rohen Versionsstring zusammen mit dem übrigen Tech-Stack auf diesem Host, was aus einer Framework-Zählung erst etwas macht, das sich tatsächlich abfragen lässt.