Websites herunterladen, die gunicorn nutzen

Über gunicorn

Gunicorn installiert ein Websitebetreiber selten aus eigener Entscheidung. Der Server ist in Python geschrieben, erschien im Jahr 2009 unter der Lizenz MIT und dient dazu, WSGI-Anwendungen hinter einem Reverse Proxy auszuführen, und in einer normalen Installation ist es der vorgeschaltete Proxy, der dem öffentlichen Internet antwortet. Von außen sichtbar wird Gunicorn nur, wenn ein Response-Header, eine Fehlerseite oder ein falsch konfigurierter Proxy verrät, welches Backend dahinter läuft. Jede Liste von Websites mit diesem Server ist deshalb eine Liste von Websites, bei denen sich das Backend verraten hat, und keine Zählung aller Python-Installationen. Der tatsächliche Bestand an Installationen ist größer als alles, was ein Crawler sehen kann.

Dass zu wenig gezählt wird, ist kein Grund, das Signal zu ignorieren. Ein nach außen gedrungenes Gunicorn-Banner zeigt, dass hinter der Website ein Anwendungsserver steckt und kein Content-Management-System auf Shared Hosting. Hinter Gunicorn laufen Django-, Flask- und FastAPI-Projekte, und das bedeutet ein Entwicklungsteam, eine Deploy-Pipeline und einen Abhängigkeitsbaum, den jemand aktuell halten muss. Stand Oktober 2026 erfassen wir gunicorn auf 36.839 Websites, und das Interessante an diesem Bestand ist, wer dazugehört: SaaS-Backends, interne Tools, die versehentlich öffentlich erreichbar wurden, Daten-APIs und Hochschulsysteme statt einfacher Visitenkarten-Websites.

Die Geografie sollte man hier mit Vorsicht lesen. 25.010 der Erkennungen verorten wir in der Schweiz, und bei den Domains führt die Endung .ch, eine Konzentration, die in keinem Verhältnis zum Anteil dieses Landes am Web steht. Schieflagen dieser Größenordnung gehen fast nie auf eine nationale Vorliebe für eine Programmiersprache zurück. Sie entstehen durch einen einzigen Hosting-Anbieter, ein einziges Deployment-Image oder einen einzigen Großkunden, dessen gesamte Serverflotte gleich antwortet, und jede Analyse, die die Länderspalte als Maß für den Geschmack von Entwicklern behandelt, kommt zum falschen Schluss.

Die Versionsdaten liefern die andere Hälfte des Bildes. Wir sehen 21 verschiedene Versionen im Einsatz, und am häufigsten erfasst ist Version 19.10.0, die mehrere Generationen hinter dem liegt, was ein aktuelles Projekt installieren würde. Die Versionsstreuung ist bei einer Komponente wie dieser eher ein Wartungssignal als ein Funktionssignal, denn Teams, die ihren Worker-Server auf einer alten Version festschreiben, halten auch den übrigen Stack selten aktuell. Wer das Ausmaß einer Gefährdung abschätzt, eine Upgrade-Kampagne plant oder Zielkunden nach technischer Reife qualifiziert, fragt eigentlich nach dieser Verteilung und nicht nach einer einzelnen Website.

Eine Abfrage pro Domain zeigt, ob eine bestimmte Website Gunicorn betreibt. Die herunterladbare Liste beantwortet die Fragen, die es nur in der Gesamtschau gibt: wie viele Websites unter einer bestimmten Endung oder in einem bestimmten Markt ein Python-Backend offenlegen, auf welche Hosting-Netzwerke sie entfallen, wie sich die Versionsverteilung zwischen Snapshots verschiebt und welche dieser Hosts außerdem etwas anderes betreiben, das man kennen sollte. Sicherheitsanbieter schätzen damit die Größe eines Bestands ab, Anbieter von Python-Tooling und Observability finden damit Teams, die sich bereits auf das Ökosystem festgelegt haben, und Vertriebsteams für Infrastruktur überspringen damit den Long Tail im Shared Hosting vollständig. Wer die Daten der Kategorie Web servers auf die Gunicorn-Spalte filtert, erhält diese Arbeitsliste in einem Durchgang, allerdings mit dem bekannten Vorbehalt: Alle darauf haben ihr Backend verraten, und wer seinen Proxy richtig konfiguriert hat, fehlt.