Websites herunterladen, die Jetty nutzen

Über Jetty

Die meisten Webserver geben sich zu erkennen. Jetty tut das oft nicht, und den Grund dafür zu verstehen, ist schon der größte Schritt, um eine Jetty-Zahl richtig zu lesen. Jetty ist ein Servlet-Container in Java, der vor allem für die Einbettung konzipiert wurde, und deshalb häufiger eine Bibliothek, die in eine Anwendung kompiliert wird, als Infrastruktur, die jemand auf einer Maschine installiert. Build-Tools, Entwicklerplattformen, Monitoring-Konsolen und unzählige interne Dienste liefern Jetty im Anwendungsarchiv mit, unsichtbar, bis etwas auf eine Anfrage antwortet.

Das Projekt reicht bis 1995 zurück und ist damit älter als der größte Teil des Stacks, dem es heute dient. Von seinem ursprünglichen kommerziellen Träger wechselte es zur Organisation Eclipse Foundation, bei der es unter der Lizenz Apache 2.0 gepflegt wird. Langlebigkeit hinterlässt in den Daten sichtbare Spuren.

Auf den Websites, auf denen Jetty sichtbar ist, erfassen wir 164 verschiedene Jetty-Versionen, am häufigsten Version 9.4.20. Hinter dem häufigsten Release reicht eine lange Reihe von Versionen über mehrere Hauptgenerationen zurück, die noch immer Anfragen beantworten, denn ein eingebetteter Server wird aktualisiert, wenn die Anwendung um ihn herum aktualisiert wird, und nicht früher. Enterprise-Anwendungen werden langsam aktualisiert, und eine Komponente, die niemand bewusst ausgewählt hat, noch langsamer.

Ein Host, auf dem Jetty direkt dem öffentlichen Internet antwortet, ist ein besonderer Typ von Host. Die Seite dahinter ist selten eine Marketing-Seite und selten ein Shop. Weit häufiger antwortet eine API, ein Entwicklertool, ein Dokumenten- oder Suchdienst, ein Unternehmenssystem, das nach außen gelangt ist, oder eine Appliance mit einer Webkonsole, die nie von außen erreichbar sein sollte.

Stand Oktober 2026 erkennen wir Jetty auf 1.694 Websites, und die Zahl ist eine Untergrenze, keine vollständige Zählung. Installationen stehen hinter Reverse Proxys, Load Balancern und Content Delivery Networks, die den Server-Header umschreiben oder entfernen, und gehärtete Konfigurationen unterdrücken ihn absichtlich. Alles, was in einem privaten Netzwerk läuft, und das ist der Großteil aller Installationen, liegt per Definition außerhalb der Reichweite jedes externen Crawls.

Wer diese Liste haben will, sucht in der Regel kein Webhosting. Teams für Schwachstellenmanagement wollen die aus dem Internet erreichbaren Instanzen samt ihren gemeldeten Versionen, denn ein öffentlich exponierter Servlet-Container mit dokumentierter Patch-Historie ist eine Angriffsfläche mit bekanntem Profil. Hersteller von Java-Tools, Observability-Unternehmen und Anbieter von kommerziellem Support wollen denselben Bestand als Marktübersicht, denn eine Organisation, die einen eingebetteten Server produktiv betreibt, hat genau die Art von IT-Landschaft, auf die ihr Angebot zielt. Forscher wollen die Versionsverteilung als empirisches Maß dafür, wie schnell eine Komponente, die in sehr vielen Anwendungen steckt, im Einsatz tatsächlich gepatcht wird, im Unterschied dazu, wie schnell ihre Entwickler Fixes veröffentlichen.

Die Prüfung eines einzelnen Hosts zeigt, ob dieser Host Jetty betreibt. Erst ein vollständiger Crawl zeigt, wie der aus dem Internet erreichbare Jetty-Bestand aussieht, welche Version jeder Host meldet, wie sich die Mischung zwischen den Generationen mit der Zeit verschiebt und welche anderen Technologien immer wieder daneben auftauchen, was meist der schnellste Weg ist, eine Appliance von einer Anwendung zu unterscheiden.