Websites herunterladen, die CouchDB nutzen

Über CouchDB

Eine Datenbank-Engine hat in einer Erhebung über Websites eigentlich nichts zu suchen, und der Grund, warum diese hier trotzdem auftaucht, ist zugleich der Grund, warum sich der Eintrag lohnt. Die Datenbank CouchDB spricht HTTP direkt, ihre Schnittstelle ist also wie ein Webserver über einen Hostnamen erreichbar, und ein Crawler, der anfragt, erhält eine Antwort, in der die Software und ihre Version genannt werden.

Eine Erkennung ist daher eine Aussage über Exponiertheit, nicht über Verbreitung. Die große Mehrheit der Installationen läuft in privaten Netzen, hinter Firewalls oder ist an ein Loopback-Interface gebunden, wo nichts außerhalb des Hosts sie erreichen kann, und keine davon wird je in unseren Index gelangen. Stand Oktober 2026 verzeichnen wir 16 Hosts. Eine Zahl dieser Art misst, wie oft die Schnittstelle aus dem öffentlichen Internet erreichbar ist, was eine andere und weit kleinere Größe ist als die Häufigkeit, mit der die Software genutzt wird, und niemand sollte sie als Installationsbasis behandeln.

Gerade die Erreichbarkeit macht die Liste interessant. Ein offen erreichbarer Datenbank-Endpunkt ist für Sicherheitsforscher bereits für sich genommen ein Befund, und die zugehörige Version macht daraus eine konkrete Frage nach Patch-Stand und Konfiguration. Wir verzeichnen 3.5.1 als Versionskennung und insgesamt 8 verschiedene Versionen im Bestand, was für eine so kleine Gruppe von Hosts eine breite Streuung ist und auf langlebige Installationen hindeutet, die einmal konfiguriert und dann sich selbst überlassen wurden. Ältere Versionen innerhalb einer solchen Streuung sind die Zeilen, die man zuerst mit veröffentlichten Sicherheitshinweisen abgleichen sollte.

Der Rest des Eintrags erklärt, warum niemand eine bessere Liste hat. CouchDB wird vom Herausgeber Apache Software Foundation unter der Lizenz Apache 2.0 veröffentlicht, existiert seit 2005 und ist in Erlang geschrieben, einer Sprache, die wegen der Nebenläufigkeit und Fehlertoleranz gewählt wurde, die eine replizierende Datenbank braucht. Nichts an diesem Modell erzeugt ein Kundenverzeichnis. Es werden keine Lizenzen verkauft und keine Nutzerplätze gezählt, und es gibt keine Vertriebspipeline eines Anbieters, aus der Zahlen in eine Pressemitteilung durchsickern könnten. Die einzige Marktübersicht, die sich überhaupt erstellen lässt, ist daher ein beobachteter Bestand aus einem Crawl, und auch unsere ist zugegebenermaßen lückenhaft.

Drei Gruppen haben echten Nutzen von der Datei. Sicherheitsteams und Forschende wollen die erreichbaren Hosts samt Versionen, um die Meldung von Schwachstellen nach Risiko statt alphabetisch zu priorisieren. Wer abschätzen will, wie groß das Segment der Dokumentdatenbanken oder das Ökosystem rund um die Implementierungssprache ist, braucht eine Untergrenze, die sich vor einem skeptischen Publikum verteidigen lässt, und eine aus einem Crawl abgeleitete Zahl lässt sich immerhin messen, was für Download-Zahlen nicht gilt. Konkurrierende Anbieter und Beratungen wollen die Hosts als potenzielle Kunden, unter der vernünftigen Annahme, dass ein offen ins Internet gestellter Endpunkt zu einem Team gehört, das von Hilfe profitieren würde. Eine Prüfung pro Host bestätigt einen einzelnen Rechner, den ohnehin schon jemand im Verdacht hatte. Die Datei liefert den Bestand, und genau den braucht jede dieser Fragen.