Websites herunterladen, die FlexCMP nutzen

Über FlexCMP

Ein Content-Management-System, das seine eigene Version dort angibt, wo ein Crawler sie lesen kann, verrät etwas darüber, wie die Website dahinter betrieben wird. FlexCMP tut das auf so vielen der erkannten Seiten, dass man in diesem Eintrag zuerst die Versionsdaten lesen sollte.

Vorher aber die Lücken. Zu FlexCMP liegen uns weder Anbieter noch Lizenz noch das Jahr der ersten Veröffentlichung vor, und jede dieser drei Angaben zu erfinden, würde den Eintrag zwar runder wirken lassen, ihn aber weniger wert machen. Was wir haben, ist das Bild der Installationen. Stand Oktober 2026 trifft der Fingerabdruck auf 35 Websites zu, und auf diesen Hosts verzeichnen wir 6 verschiedene Versionsangaben, wobei Version 7.9.17 wiederholt auftaucht.

Eine Streuung von Versionsangaben über eine kleine installierte Basis ist das Kennzeichen von Software, die Installation für Installation gepflegt wird, und nicht von einem Dienst, den jemand zentral für alle aktualisiert. Websites auf einer gehosteten Plattform bewegen sich gemeinsam, weil der Anbieter sie mitzieht. Websites mit eigener Kopie bewegen sich, wenn eine Agentur Budget hat, wenn etwas kaputtgeht oder nie, und die Version, die jeder Host meldet, wird so zu einem groben Maß dafür, wie viel Aufmerksamkeit er noch bekommt. Eine Plattformangabe zeigt, worauf eine Website gebaut wurde. Eine Versionsverteilung zeigt, ob sich noch jemand um sie kümmert.

Diese Kombination hat ein kleines, klar umrissenes Publikum. Agenturen und Plattformanbieter, die für Migrationen werben, wollen eine Liste von Nischen-CMS, weil der Kreis potenzieller Kunden begrenzt, erreichbar und oft sichtbar veraltet ist. Sicherheitsforscher wollen sie, weil sich ein Problem, das an ein bestimmtes Release gebunden ist, nur anhand einer aufgelisteten Menge von Installationen konkret angehen lässt. Marktforscher wollen sie, weil das Überleben regionaler und branchenspezifischer Content-Management-Systeme eine echte Frage danach ist, wie das Web tatsächlich gebaut ist, und diese Frage lässt sich nur anhand einer vollständigen Liste stellen.

Die Erkennung bleibt zurückhaltend. Eine Installation, die so konfiguriert ist, dass sie ihre Version verbirgt, oder die hinter einem Cache liegt, der die Generator-Metadaten entfernt, fällt aus der erkannten Menge heraus und damit auch aus der Versionsverteilung. Die Zahl sollte man deshalb als Untergrenze lesen. Der Download liefert jeden Host, den wir erkannt haben, die Version, die wir dort gesehen haben, und daneben Land und Plattform, also einen Bestand, den man durch die Prüfung einzelner Domains nicht zusammenstellen kann.