Websites herunterladen, die Macaron nutzen

Über Macaron

Eine Server-Antwort muss das Framework, das sie erzeugt hat, nicht nennen, und meistens tut sie es auch nicht. Macaron ist ein kompaktes Web-Framework in Go, auf Middleware gestützt und bewusst klein gehalten, und ein Dienst, der darauf läuft, kann Anfragen beantworten, ohne auch nur einen Hinweis darauf preiszugeben, was dahintersteckt. Jede Zählung serverseitiger Frameworks muss damit beginnen, dieses Problem einzugestehen.

Die Erkennung beruht hier auf Schlussfolgerungen, nicht auf einer Selbstauskunft. Als Belege dienen Standard-Fehlerseiten, das Verhalten der Header, Eigenheiten beim Routing und frameworkspezifische Artefakte, und jedes davon kann ein Betreiber, dem daran liegt, abschalten, ersetzen oder hinter einem Reverse-Proxy verbergen. Stand Oktober 2026 erkennen wir Macaron auf 719 Websites, und nüchtern betrachtet ist diese Zahl eine Untergrenze für öffentlich sichtbare Installationen und kein Maß dafür, wie stark das Framework genutzt wird.

Was die Untererfassung übersteht, ist ein Signal, das ungewöhnlich spezifisch ist, wenn es denn auftaucht. Eine Domain, die von einem Framework in Go ausgeliefert wird, hat ein Entwickler gebaut und nicht aus einer Vorlagengalerie zusammengesetzt, was sie in einen engen Kreis einordnet: technikgetriebene Unternehmen, öffentlich erreichbare interne Plattformen, Entwickler-Tools und selbst gehostete Dienste. Macaron erschien 2014 unter der Lizenz Apache 2.0. Das Framework gehört zu der Generation kleiner Go-Frameworks, auf die Teams setzten, die Routing und Middleware ohne großen Abhängigkeitsbaum wollten, und Code aus dieser Zeit läuft meist noch, weil jemand ihn pflegt, und nicht, weil ein Hosting-Anbieter ihn für diese Teams installiert hat.

Für Forscher ist genau dieser Kreis der springende Punkt. Auf anderem Weg sind die Domains schwer zu finden, denn kein Handelsregister verzeichnet, in welcher Sprache ein Dienst geschrieben ist, und Abfragen Domain für Domain funktionieren erst, wenn man schon eine Kandidatenliste hat. Der Export kehrt die Richtung um: Er geht von der Technologie aus und liefert die Domains, und genau so entstehen in der Praxis eine Marktübersicht, ein Recruiting-Signal oder eine Analyse der Angriffsfläche.

Wer die Liste nutzt, sollte diesen Vorbehalt stets mitdenken. Die Menge der Domains, auf denen Macaron sichtbar ist, ist real und überprüfbar. Die Menge, auf der es unbemerkt hinter einem Proxy läuft, ist es nicht. Die Datei zeigt also, wo ein Framework der Kategorie Web frameworks an die Oberfläche kommt, und nicht, wo es tatsächlich im Einsatz ist.