Websites herunterladen, die mod_wsgi nutzen

Über mod_wsgi

Servermodule sind der Teil eines Stacks, den niemand zweimal auswählt. Ein Deployment-Muster wird festgelegt, wenn eine Anwendung zum ersten Mal in Produktion geht, und überdauert dann weitgehend unangetastet Jahre der Feature-Entwicklung, denn das Prozessmodell umzubauen ist ein Projekt mit echtem Risiko und ohne sichtbaren Nutzen.

In mod_wsgi ist genau diese Entscheidung konserviert. Das Modul erschien 2007, ist in C geschrieben und bettet einen Python-Interpreter in Apache ein oder führt die Anwendung in Daemon-Prozessen aus, die Apache überwacht, was lange Zeit der Standardweg war, eine Python-Webanwendung zu hosten. Die Lizenz Apache 2.0 und das Fehlen eines Unternehmens hinter dem Projekt führten dazu, dass es sich über Dokumentation und Tutorials verbreitete und nicht über den Vertrieb. Neuere Deployments stellen stattdessen meist einen eigenen Anwendungsserver hinter einen Reverse Proxy. Wer das Modul heute findet, hat daher einen brauchbaren Hinweis darauf, dass der Host älter ist als dieser Wandel oder von jemandem aufgebaut wurde, der in dieser Zeit sein Handwerk gelernt hat.

An den Versionsdaten wird der Bestand konkret. Wir sehen 59 verschiedene Versionen im Umlauf, wobei Version 5.0.0 häufiger vorkommt als jeder andere Build. Bei einem einzelnen Apache-Modul ist eine Streuung in dieser Größenordnung keine gewöhnliche Fluktuation. Eine solche Streuung bedeutet: Installationen, die über ein Betriebssystempaket festgeschrieben sind, die in einem vor Jahren gebauten und nie neu erstellten Container-Image eingefroren sind oder die von einer Requirements-Datei festgehalten werden, die niemand anzurühren wagt. Wer Sicherheitsrisiken verfolgt, für den ist die Versionsverteilung selbst der Befund und nicht bloß ein Detail, das an einem Befund hängt.

Die Erkennung beruht auf Rückschlüssen, und das sagen wir lieber offen. Das Modul gibt sich in einem Server-Header zu erkennen, wenn der Administrator die Standardkonfiguration unverändert lässt, und viele Administratoren tun das nicht. Gehärtete Hosts entfernen oder überschreiben diesen Header, ein dem Origin vorgeschalteter Reverse Proxy oder ein CDN ersetzt ihn meist vollständig, und in beiden Fällen wird eine völlig intakte Installation von außen unsichtbar. Stand Oktober 2026 erkennen wir mod_wsgi auf 7.386 Websites, und jede Erkennung steht für einen Host, der das Modul betreibt und dies zugleich nach außen zeigt. Die tatsächlich installierte Basis ist um einen unbekannten Faktor größer, und jede Analyse, die die Zahl als vollständig behandelt, wird Python auf Apache-Servern unterschätzen.

Die Geografie folgt derselben Logik wie die Versionsstreuung.

Die Frage, die ein Export klärt, betrifft den Bestand als Ganzes. Welche Hosts betreiben dieses Muster noch, bei welchen Hostern, in welchen Versionen, neben welchen Frameworks und welchen Apache-Builds? Sicherheitsforscher grenzen damit Angriffsflächen ein, Migrationsberatungen finden Bestände, deren Modernisierung sich lohnt, und Framework-Maintainer entscheiden damit, was weiterhin funktionieren muss. Die Abfrage einer einzelnen Domain zeigt, was diese eine Domain betreibt. Die Liste zeigt, ob eine Abkündigung eine Fußnote ist oder für eine beträchtliche installierte Basis ein Breaking Change.