Websites herunterladen, die Flyspray nutzen

Über Flyspray

Bugtracking ist so vollständig in gehostete Abonnements abgewandert, dass ein selbst installierter Tracker auf einem öffentlichen Webserver heute etwas über das Team verrät, das ihn dort aufgesetzt hat. Flyspray steht für die ältere Gewohnheit. Das in PHP geschriebene und unter der Lizenz LGPL veröffentlichte Projekt stammt aus dem Jahr 2004, also aus einer Zeit, in der ein kleines Team, das Issue-Tracking wollte, meist einen Tracker auf demselben Host entpackte, auf dem auch die Arbeit lag, die er verfolgte.

Ein Tracker ist ein internes Werkzeug, und gerade deshalb ist es interessant, ihn offen im Internet zu finden. Niemand macht mit einem Bugtracker Marketing, und niemand kauft Traffic für einen. Wenn Flyspray auf einem Hostnamen antwortet, liegt das meist daran, dass ein Projekt seinen Workflow bewusst für externe Mitwirkende offen gelassen hat oder dass ein Administrator vergessen hat, dass eine Subdomain noch auflöst. Zwei sehr unterschiedliche Lesarten, und nur eine vollständige Liste macht es möglich, sie auseinanderzuhalten.

Die Lizenz erklärt einen Teil des Musters. Da Flyspray unter der Lizenz LGPL veröffentlicht wurde, ließ es sich ohne Bestellung, Testphase oder Gespräch mit einem Vertriebler auf der eigenen Infrastruktur eines Unternehmens installieren, und genau deshalb bleiben Installationen solcher Software intern am Ende undokumentiert. Im Einkauf weiß niemand, dass der Tracker existiert, und bis jemand fragt, ist die Person, die ihn eingerichtet hat, meist längst weitergezogen.

Stand Oktober 2026 erkennen wir Flyspray auf 1 Website. Eine so kleine Zahl nennt man besser nüchtern, statt sie aufzuhübschen, und sie verdient einen Vorbehalt. Die Erkennung stützt sich auf Markup und Asset-Pfade, die die Anwendung ausgibt, daher taucht eine Installation hinter einer Login-Sperre, einer IP-Allowlist oder einem Reverse Proxy, der diese Pfade umschreibt, nie auf. Die Zahl ist eine Untergrenze und keine Vollerhebung.

Für Forscher liegt der Wert nicht in einem einzelnen Hostnamen, sondern in der Zusammensetzung der gesamten Menge. Ein Sicherheitsteam, das veraltete PHP-Anwendungen aufspürt, will jeden Host mit einem Tracker dieses Jahrgangs in einer Datei haben, weil das Risiko in den Installationen steckt, an deren Einrichtung sich niemand erinnert. Ein Maintainer, der untersucht, wie Projektinfrastruktur altert, will dieselbe Datei aus dem entgegengesetzten Grund, als Beleg dafür, was überlebt, wenn die Mode weiterzieht. Keine noch so große Zahl einzelner Domain-Abfragen klärt eine dieser Fragen, denn beide betreffen einen Bestand.

Eine Abfrage pro Domain zeigt Ihnen, ob eine bestimmte Website Flyspray nutzt. Die herunterladbare Liste zeigt, wer es überhaupt noch einsetzt, und bei so alter Software ist das die einzige Frage, die sich zu stellen lohnt.