Websites herunterladen, die Nginx nutzen

Über Nginx

Nginx verdankt seine Existenz einem Engpass, der inzwischen niemanden mehr interessiert. Die Server seiner Zeit bearbeiteten jede Verbindung mit einem eigenen Prozess oder Thread, und sobald die Zahl gleichzeitiger Verbindungen eine gewisse Schwelle überschritt, war die Maschine mehr mit dem Scheduling beschäftigt als mit dem Ausliefern. Nginx setzte dem eine Event-Loop entgegen, und diese Antwort erwies sich als allgemein genug, um das Problem zu überdauern.

Stand Oktober 2026 erkennen wir Nginx auf 26.318.404 Websites, womit es zu jener Software gehört, die man in fast jedem Gespräch über Infrastruktur irgendwo voraussetzen kann. Bei derart allgegenwärtiger Software lohnt sich genaues Hinsehen mehr als der Blick auf eine bloße Gesamtzahl.

Die interessante Struktur liegt darunter. Auf diesen Websites sehen wir derzeit 347 verschiedene Versionsangaben im Produktivbetrieb, am häufigsten Version 1.28.3. Eine breite Versionsstreuung ist der Normalzustand bei Software, die man selbst installiert und über die man danach nicht mehr nachdenkt, denn im Betriebsalltag erzwingt nichts ein Upgrade, bis etwas kaputtgeht. Ein Webserver, der funktioniert, meldet nicht, dass er drei Jahre im Rückstand ist.

Das hat Folgen, die über bloße Ordnung hinausgehen. Jede veröffentlichte Sicherheitsmeldung betrifft einen Bereich von Versionen, und der Bestand an Websites in diesem Bereich ist bei dieser Größenordnung kein Rundungsfehler. Wer Schwachstellenforschung betreibt, Versicherungsrisiken bewertet oder Lieferketten prüft, braucht die Verteilung und nicht den häufigsten Wert, denn das Risiko steckt in den Ausläufern der Verteilung, und genau dort hören öffentliche Zusammenfassungen auf zu berichten.

Die Geografie fügt eine zweite Achse hinzu. Die größte Konzentration findet sich in den USA, wo wir Nginx auf 7.081.331 Websites erkennen. Unter der Endung .com finden wir Nginx häufiger als unter jeder anderen. Eine Hosting-Konzentration ist keine Aussage über Marktanteile. Solche Zahlen spiegeln wider, wo sich Hosting-Kapazität ballt, und das zu wissen ist gerade deshalb nützlich, weil es nicht dem Standort der Unternehmen hinter diesen Websites entspricht.

Warum man eine Liste statt eines Diagramms braucht, wird klar, sobald man eine echte Frage beantworten will. Welche Websites in einem Land laufen mit einer Version unterhalb einer bestimmten Schwelle. Welche davon betreiben zusätzlich eine bestimmte Anwendungsschicht darüber. Welche sind seit dem letzten Neuaufbau des Datensatzes hinzugekommen und waren vorher nicht da. Nichts davon ist eine Einzelabfrage. Es ist das Filtern eines Bestands, und dafür braucht man den Bestand.

Genau das ist der Export von webatla. Jede Domain, auf der wir Nginx erkennen, mit der beobachteten Versionsangabe, dem Hosting-Land, der Endung und dem übrigen Tech-Stack, den wir auf derselben Website identifiziert haben, als eine Datei, die täglich neu erstellt wird. Sie führen die Abfrage auf Ihrem eigenen Rechner aus, in beliebiger Größenordnung, ohne dass ein Rate-Limit zwischen Ihnen und der Antwort steht.

Eine weitere Besonderheit zeigt sich erst, wenn man den gesamten Bestand vor sich hat. Die Versionsangabe meldet der Server selbst, und ein nennenswerter Teil der Installationen unterdrückt oder verändert sie absichtlich als Härtungsmaßnahme. Die beobachtbare Verteilung ist deshalb zum weniger sorgfältig administrierten Ende des Bestands hin verzerrt, und das sollte man offen sagen, statt es stillschweigend herauszurechnen. Die Websites, die ihre Version verbergen, sind im Schnitt genau die, um die man sich ohnehin am wenigsten Sorgen macht.

Derselbe Bestand beantwortet außerdem Fragen zum gemeinsamen Auftreten statt zur Software selbst. Weil der Export alle Erkennungen einer Domain zusammen enthält, können Sie fragen, welche Websites einem Anwendungs-Stack diesen Server vorschalten und anderswo einen anderen, oder welche Kombinationen fast ausschließlich in den IP-Bereichen eines einzigen Hosting-Anbieters auftreten. In einer Ansicht pro Technologie bleiben solche Muster unsichtbar, in einer vollständigen Tabelle springen sie ins Auge.

Der Anbieter F5 Networks pflegt Nginx unter der Lizenz BSD, öffentlich verfügbar ist es seit 2004. Wichtiger als die Lizenz ist das Vertriebsmodell: Weil jeder die Software installieren kann, ohne sich irgendwo zu registrieren, besitzt kein Anbieter eine Kundenliste, und den Bestand kennt nur, wer ihn selbst misst.