Websites herunterladen, die PHP nutzen

Über PHP

PHP ist die Schicht, die kaum jemand bewusst auswählt und die trotzdem fast jeder am Ende betreibt. Stand Oktober 2026 erkennen wir PHP auf 11.866.727 Websites, und die überwältigende Mehrheit dieser Websites hat darüber überhaupt keine Entscheidung getroffen. Ihre Betreiber haben eine Plattform gewählt, und die Plattform brachte einen Interpreter mit.

Gerade dieser Umweg macht PHP als Datenquelle nützlich. Weil die Sprache unter der Inhaltsschicht liegt und nicht neben ihr, hängt ihr Einsatz mit einer ganzen Reihe von Merkmalen zusammen, die man tatsächlich ins Visier nehmen könnte: einer Art von Hosting, einer Klasse von Plattformen, einem Wartungsverhalten, einer Preisklasse. Für sich allein sagt das Signal fast nichts. Abgeglichen mit dem, was darüber läuft, wird es zu einem verlässlichen Segmentierungskriterium.

Das schärfste Instrument ist hier die Verteilung der Versionen. Derzeit sehen wir im Produktivbetrieb 638 verschiedene Versionsangaben, und am häufigsten wird Version 8.3.33 gemeldet. Die Lücke zwischen dem, was das Projekt selbst noch unterstützt, und dem, was tatsächlich läuft, ist groß, und anders als das meiste in diesem Bereich lässt sie sich direkt messen und muss nicht erschlossen werden. Eine Website auf einem nicht mehr unterstützten Interpreter erhält keine Sicherheitsupdates, und das ist eine sachliche Aussage über Risiko, kein Urteil über Qualität.

Diese Tatsache hat kommerzielles Gewicht, und zwar in mehrere Richtungen zugleich. Hosting-Unternehmen bemessen damit den Umfang von Migrationskampagnen. Sicherheitsanbieter schätzen damit das Ausmaß der Gefährdung ab. Agenturen finden damit Websites, deren Betreiber bald ein Problem haben werden, von dem sie noch nichts wissen. Jedes Mal handelt es sich um dieselbe Grundabfrage mit einem anderen Filter, und jedes Mal braucht man den vollständigen Bestand statt einer Stichprobe.

Die Geografie liefert Kontext, kein Ziel. 3.900.491 der erkannten Websites werden in den USA gehostet, und unter den Endungen liegt .com vorn, und beide Werte bilden ab, wo sich Massenhosting konzentriert, und nicht, wo die Sprache besonders beliebt ist.

Die Versionsangabe ermöglicht noch etwas anderes, nämlich Rückschlüsse auf den Stack darüber. Bestimmte Interpreterversionen sind mit bestimmten Plattformversionen nicht kompatibel. Läuft ein alter Interpreter unter einer aktuellen Anwendung, meldet die Anwendung ihre Version deshalb meist falsch, und ein aktueller Interpreter unter einer alten Anwendung bedeutet meist, dass jemand das Fundament erneuert und das Gebäude in Ruhe gelassen hat. Beides ist aufschlussreich, und für beides müssen die zwei Angaben in derselben Zeile stehen.

Genau so ist der Export von webatla aufgebaut. Jede Domain, auf der wir PHP erkennen, mit der beobachteten Version, dem Hosting-Land, der Endung und allem anderen, was wir auf derselben Website erkannt haben, in einer Datei, die täglich neu erstellt und lokal gefiltert wird.

Auch das Fehlen des Signals ist aufschlussreich. Meldet eine Website PHP nicht, obwohl dieser Interpreter in ihrer Kategorie nahezu überall läuft, setzt sie meist entweder bewusst etwas anderes ein oder unterdrückt den Header. Beides sind kleine, ungewöhnliche Gruppen, bei denen sich ein genauerer Blick lohnt. Weit verbreitete Technologien sind an ihren Rändern am nützlichsten.

Es lohnt sich auch, offen zu sagen, woher wir das wissen. Die Version stammt aus dem, was der Server von sich aus preisgibt, und eine gehärtete Konfiguration gibt nichts preis. Die Gruppe mit sichtbarer Version ist deshalb in Richtung des weniger sorgfältig konfigurierten Teils des Bestands verzerrt, in dieselbe Richtung wie jedes andere selbst gemeldete Feld im Web. Diese Verzerrung ist stabil und damit handhabbar, aber man sollte sie offen benennen, statt sie stillschweigend auszublenden, und genau deshalb veröffentlichen wir die rohe Angabe, die wir beobachtet haben, statt einer normalisierten Vermutung.

The PHP Group pflegt PHP unter der Lizenz PHP License, und seit 1994 ist die Sprache öffentlich zugänglich. Eine Registrierung war für PHP nie vorgesehen, und deshalb gab es auch nie eine Liste derer, die PHP einsetzen.