Websites herunterladen, die GlassFish nutzen

Über GlassFish

Dass GlassFish direkt im öffentlichen Internet erreichbar ist, ist meist ein historischer Zufall und keine Designentscheidung. Ein Java-Anwendungsserver soll hinter etwas anderem stehen, und wenn er eine Anfrage direkt beantwortet, liegt das oft daran, dass die vorgeschaltete Schicht abgeschaltet wurde, der Proxy nie richtig konfiguriert wurde oder die Installation das Team, das sie aufgebaut hat, schlicht überdauert hat.

Laut unserem Eintrag liegt die Verantwortung für das Projekt bei der Eclipse Foundation, und die Lizenz lautet CDDL. Als erstes mit der Technologie verknüpftes Jahr verzeichnen wir 2006, als Laufzeitumgebung darunter Java. Das Projekt wechselte im Lauf seiner Geschichte den Besitzer und ging von einem kommerziellen Sponsor in die Verwaltung einer Stiftung über, während der installierte Code bei jedem dieser Übergänge einfach weiterlief. Stand Oktober 2026 sehen wir GlassFish auf 125 Hosts.

Der nützliche Teil gerade dieses Eintrags sind die Versionsangaben. Anwendungsserver geben sich in Antwort-Headern und Fehlerseiten zu erkennen. Anders als ein Framework, das tief in der Anwendungsschicht steckt, verrät ein Server deshalb meist, was er ist und welchen Build er ausführt. Wir verzeichnen 13 verschiedene Versionsstrings, und am häufigsten taucht Version 3.1.2 auf. Versionsstrings, die sich über so viele einzelne Builds verteilen, sind das Kennzeichen eines Bestands, den niemand planmäßig aktualisiert und in dem jeder Host die Version widerspiegelt, die am Tag seiner Einrichtung aktuell war.

Wer die Liste haben will, hängt davon ab, aus welcher Perspektive man sie liest. Modernisierungsberatungen und konkurrierende Anbieter von Java-Laufzeitumgebungen lesen sie als Markt, denn jeder Host in der Datei ist eine Anwendung, die irgendwann jemand migrieren, ersetzen oder mit wachsendem Aufwand am Leben erhalten muss. Sicherheitsteams lesen dieselben Zeilen als Angriffsfläche, denn ein Server, der auf einer öffentlichen Adresse einen alternden Build anzeigt, ist schon für sich eine Spur, ganz gleich, ob der Sicherheitsforscher für die Organisation arbeitet oder gegen sie. Projekte zur Inventarisierung von IT-Assets nutzen die Liste nüchterner, um die Maschinen zu finden, die ihre eigene Dokumentation zu erwähnen vergessen hat.

Die Zahl verdient einen Vorbehalt, der in beide Richtungen gilt. Jede Installation hinter einem Reverse Proxy, der den Server-Header entfernt oder umschreibt, bleibt für uns unsichtbar. Die tatsächliche installierte Basis ist also größer als das, was wir sehen, und zwar in einem Ausmaß, das wir nicht beziffern können. In der anderen Richtung ist ein Banner nur eine Behauptung, und ein gepatchter Build kann weiterhin die Version melden, mit der er ursprünglich ausgeliefert wurde. Die Versionsspalte ist deshalb ein Indiz und kein Beweis. Dass es sich lohnt, die ganze Datei zu nehmen, statt Hosts einzeln abzufragen, liegt daran, dass jedes interessante Muster hier eine Frage der Verteilung ist: welche Builds sich in welchen Hosting-Netzen häufen, welche Länder und Endungen den Long Tail ausmachen und wie schnell der Bestand von einer Version zur nächsten ausdünnt.