Websites herunterladen, die mod_perl nutzen

Über mod_perl

Software dieses Alters auf einem Live-Server ist selten eine Frage der Mode. mod_perl stammt aus dem Jahr 1996 und gehört damit zu den ersten ernsthaften Antworten auf das Problem, dass das Web langsam war, weil jede Anfrage per Fork einen neuen Interpreter startete. Das Modul ist in C geschrieben, wurde von der Organisation Apache Software Foundation unter der Lizenz Apache 2.0 veröffentlicht und bettet einen Perl-Interpreter direkt in den Apache-Prozess ein. Es hält ihn zwischen den Anfragen warm und gibt Perl-Code direkten Zugriff auf die interne Anfrageverarbeitung des Servers statt nur auf die schmale Schnittstelle, die CGI erlaubte.

Das Performance-Argument, mit dem das Modul einst gerechtfertigt wurde, ist mit anderen Mitteln mehrfach gewonnen worden, und trotzdem hält es sich. Gerade dieses Fortbestehen ist hier das Interessante. Eine Perl-Anwendung neu zu schreiben, in der sich über Jahre undokumentierte Geschäftslogik angesammelt hat, ist teuer und bringt nichts, was ein Kunde sehen könnte. Deshalb fällt die vernünftige Entscheidung Jahr für Jahr gleich aus: weiterlaufen lassen. Ein Treffer deutet meist auf eine Anwendung hin, die älter ist als das aktuelle Entwicklerteam und bei der die Kosten einer Änderung gut bekannt sind, die Bereitschaft dazu aber gering ist.

Außerdem sollte man im Blick behalten, wer hinter der Installation steht. Control Panels für Shared Hosting liefern das Modul seit sehr langer Zeit als Teil eines Standard-Apache-Builds aus, was bedeutet, dass ein großer Teil der Installationen überhaupt nie eine Entscheidung des Website-Betreibers war. Das Modul ist da, weil der Hosting-Anbieter es einkompiliert hat. Jeden Treffer als Beleg für ein internes Perl-Team zu lesen, würde die Sache stark überzeichnen, und die beiden Gruppen, bewusste Nutzer und geerbte Voreinstellungen, sehen von außen identisch aus.

Die Geografie schärft dieses Bild. Stand Oktober 2026 erkennen wir das Modul auf 38.198 Websites, und 14.909 davon verorten wir im Vereinigten Königreich, ein Anteil, der so groß ist, dass er nach einer Erklärung verlangt. Nationale Vorlieben verschieben ein Servermodul selten so stark. Eine Handvoll großer Hosting-Anbieter, die auf ihrer gesamten Serverflotte dasselbe Apache-Image ausrollen, schafft das sehr wohl, und eine Spitze auf Länderebene bei einem einkompilierten Modul ist meist eine Eigenheit einzelner Anbieter, die nur ein Länderetikett trägt.

Hier gibt es Versionsdaten, was für ein Servermodul ungewöhnlich und nützlich ist. Wir können im Einsatz 24 verschiedene Releases unterscheiden, wobei Version 2.0.12 in einem großen Teil des Bestands wiederkehrt. Bei einer Codebasis, deren Release-Rhythmus in Jahren gemessen wird, zeigt die Streuung der Versionen, wie lange die Installationen schon unberührt laufen, und wer eine bestimmte Sicherheitsmeldung verfolgt, kann damit die betroffene Menge beziffern, statt zu raten.

Die Zahl ist eine Untergrenze und sollte auch so behandelt werden. Sichtbar ist das Modul nur, wenn ein Server es von sich aus preisgibt, normalerweise in einem Response-Header mit den einkompilierten Modulen, und sehr viele Betreiber kürzen oder entfernen diesen Header aus genau diesem Grund. Reverse-Proxys und Content Delivery Networks ersetzen ihn gleich ganz. Wo der Header erhalten bleibt, kann er zudem hinter der Realität zurückbleiben, weil er beschreibt, was einkompiliert wurde, und nicht, was eine Anfrage tatsächlich ausführt. Der Datensatz enthält Server, die sich zu dem Modul bekennen, nicht jeden Server, auf dem es läuft.

Die Frage nach einer einzelnen Domain liefert ein Ja oder Nein, bei dem der Server womöglich untertreibt. Die Liste hilft bei den Fragen, die man tatsächlich hat: welche Hosting-Anbieter das Modul noch ausliefern, wie sich der Bestand auf die Releases verteilt, welche Branchen ihre Perl-Anwendungen am Leben gehalten haben und wie schnell der Bestand von einem Jahr zum nächsten schrumpft. Für ein Sicherheitsteam, das seine Gefährdung beziffert, eine Migrationsberatung auf Kandidatensuche oder jemanden, der über den Long Tail des Webs schreibt, ist das Gesamtbild die Antwort und die Einzelabfrage nicht.