Websites herunterladen, die CodeIgniter nutzen

Über CodeIgniter

Backend-Frameworks lassen sich von außen am schwersten erkennen, weil der Code, der eine Seite rendert, in der erzeugten Seite meist keine Signatur hinterlässt. CodeIgniter ist ein Paradebeispiel für dieses Problem. Das Framework ist in PHP geschrieben, steht unter der Lizenz MIT, erschien erstmals 2006 und erledigt seine Arbeit vollständig auf dem Server, sodass einem Crawler als Beleg nur bleibt, was die Anwendung zu verbergen vergessen hat.

Die Erkennung beruht hier auf Nebeneffekten. Namen von Session-Cookies, charakteristische URL-Strukturen, Standard-Fehlerausgaben, die Reihenfolge der Response-Header und hin und wieder ein unverändertes Standard-Asset sind typische Spuren, die das Framework verraten. Ein Team, das sein Session-Cookie umbenennt, sauber routet und eigene Fehlerseiten ausliefert, verschwindet vollständig aus den Daten, obwohl es das Framework weiterhin nutzt. Die folgende Zahl sollte man als Untergrenze lesen, und zwar als eine unscharfe. Wer diese Liste nutzt, muss wissen, dass ein Fehlen nichts beweist.

Stand Oktober 2026 erkennen wir das Framework auf 56.504 Websites. 17.130 davon verorten wir in den USA, und unter den Endungen kommt .com häufig vor. Die Versionsangaben sind aus demselben strukturellen Grund grob, denn ein serverseitiges Framework teilt Besuchern seine Versionsnummer nicht mit, und was wir auslesen können, beschränkt sich auf eine Versionsreihe wie 2+ statt auf einen genauen Build. Betrachten Sie das Versionsfeld hier als Hinweis auf die Generation und nicht als Patch-Stand, auf dessen Grundlage Sie direkt handeln könnten.

Was nach all dieser Vorsicht übrig bleibt, ist trotzdem etwas wert, denn das Framework selbst hat ein unverwechselbares Profil. Es ist klein, schnell und kommt ohne viel Zeremoniell aus, und es wurde in großem Umfang von unabhängigen Entwicklerbüros, Inhouse-Teams und regionalen Entwicklungsagenturen eingesetzt, die mit bescheidenem Budget Fachanwendungen, Portale und individuelle E-Commerce-Lösungen bauten. Projekte dieser Art sind langlebig, werden selten neu geschrieben und meist von denjenigen gepflegt, die sie gebaut haben. Der erkannte Bestand besteht deshalb ungewöhnlich stark aus Geschäftssoftware, die ihre Eigentümer selbst betreiben, und weniger aus Marketing-Websites.

Verschiedene Käufer nutzen dieses Profil auf unterschiedliche Weise. Recruiting- und Outsourcing-Firmen finden damit die Unternehmen und Agenturen, die diesen Teil des Ökosystems noch betreiben. Sicherheitsforscher nutzen es, weil ein Anwendungsframework einer älteren Generation auf einem öffentlich erreichbaren Host eine Klasse von Systemen ist, die sich im großen Maßstab zu untersuchen lohnt. Migrations- und Modernisierungsanbieter finden damit Anwendungen, die vor Jahren auf einem Stack gebaut wurden, dessen ursprünglicher Entwickler oft weitergezogen ist.

Vermeiden sollte man vor allem eines: eine einzelne Zeile als maßgeblich zu behandeln. Eine Einzelabfrage für eine Domain ist bei einer so stark auf Schlussfolgerungen beruhenden Erkennung die schwächste denkbare Nutzung der Daten, denn ein fehlender Treffer kann bedeuten, dass das Framework nicht vorhanden ist, oder aber, dass der Entwickler einfach sauber konfiguriert hat. Erst in der aggregierten Nutzung stabilisiert sich das Signal. In einem großen Bestand tauchen die verräterischen Spuren oft genug auf, dass das Gesamtbild der Gruppe aussagekräftig wird, auch wenn einzelne Zeilen unsicher sind. Mit der herunterladbaren Datei arbeiten Sie genau auf dieser Ebene, denn sie verknüpft das Framework-Merkmal mit Land, Endung, Serversoftware und dem übrigen Stack jeder Website.