Websites herunterladen, die gitweb nutzen

Über gitweb

Niemand kauft gitweb. Der Browser wird mit Git selbst ausgeliefert, das Einschalten ist also die Entscheidung eines Systemadministrators, der gerade einen Handler übrig hatte, und kein Beschaffungsvorgang, hinter dem eine Rechnung steht. Für einen Technologie-Datensatz bedeutet das, dass dieser Eintrag keine Kundenliste ist. Er ist ein Verzeichnis von Organisationen, die beschlossen haben, ihren Quellcode selbst zu hosten, statt den Dienst bei jemand anderem zu mieten.

Das Tool ist in Perl geschrieben und steht unter der Lizenz GPL v2, und das erste Release, das wir verzeichnen, stammt aus dem Jahr 2005, nah an den Anfängen von Git selbst. Man sieht dem Design das Alter an: ein Skript, das die Repository-Historie auf Anfrage rendert, ohne Daemon, ohne Datenbank und ohne Queue dahinter, und genau deshalb überlebt es auf Maschinen, die vor langer Zeit eingerichtet und danach nie wieder angefasst wurden.

Die Versionsdaten verdienen einen genauen Blick. Uns liegen 3 verschiedene Versionsstrings für das Tool vor, wobei Version 1.9 der typische Wert ist. Weil der Browser mit Git ausgeliefert wird und nicht separat, ist die Version, die ein Host angibt, faktisch die auf dieser Maschine installierte Git-Version. Wer die Streuung der Versionen liest, liest also das Alter der Toolchain auf jedem einzelnen Server, was ein nützlicheres Signal ist als die bloße Tatsache, dass eine Weboberfläche existiert.

Es gibt eine zweite Lesart, die danach fragt, was diese Wahl ausschließt. Ein Team, das eine paketierte Software-Forge betreibt, hat sich auf ein Produkt, einen Upgrade-Pfad und meist auch eine Datenbank als Unterbau festgelegt, während ein Host, der den mitgelieferten Browser von Git bereitstellt, sich auf nichts über das Versionskontrollsystem hinaus festgelegt hat. Die Repositories liegen auf derselben Maschine, die sie veröffentlicht, und werden von Hand verwaltet. Wer die Oberfläche findet, identifiziert also einen Arbeitsserver statt einer Appliance und eine Gewohnheit, Infrastruktur aus Einzelteilen zu bauen, statt sie fertig montiert zu kaufen.

Wer diese Liste haben will, weiß auch, warum. Sicherheitsforscher betrachten öffentliche Repository-Browser als Frage der Angriffsfläche, denn eine Oberfläche, die für ein internes Netz gedacht ist, liefert bereitwillig Commit-Historie, Branch-Namen, Autorenadressen und gelegentlich eine Konfigurationsdatei aus, die von vornherein nie hätte committet werden dürfen. Anbieter gehosteter Quellcodeverwaltung wollen die Adressen von Organisationen, die ihre Quellcodeverwaltung noch selbst betreiben. Wer untersucht, wie Infrastruktur altert, braucht einen Bestand langlebiger Server, und selbst gehostete Repository-Browser sind ein verlässlicher Weg, solche Server zu finden.

Stand Oktober 2026 erkennen wir gitweb auf 25 Websites, und die Zahl verdient eher einen Vorbehalt als eine Ausschmückung. Die Erkennung setzt voraus, dass die Oberfläche erreichbar, crawlbar und an ihrem Markup erkennbar ist, während sehr viele Installationen in internen Netzen, hinter einer Authentifizierung oder auf Ports liegen, die kein Scanner besucht. Der Datensatz zeigt, welche öffentlichen Hosts die Oberfläche preisgeben, samt den zugehörigen Domains und Versionen. Wer die tatsächliche installierte Basis eines mit Git gebündelten Tools kennen will, fragt nach etwas, das kein externer Scan klären kann.