Websites herunterladen, die PHPDebugBar nutzen

Über PHPDebugBar

PHPDebugBar ist ein Entwicklungswerkzeug, und wer es auf einer öffentlichen Website findet, hat damit meist schon einen Befund. Die Toolbar wird direkt in der Seite dargestellt und zeigt, was ein Entwickler beim Debuggen sehen will, darunter ausgeführte Datenbankabfragen, Request-Parameter, Sitzungsinhalte, Exceptions, Laufzeitprofile und eigene Log-Meldungen.

Die Toolbar ist in PHP geschrieben, erschien 2013 unter der Lizenz MIT und lässt sich in die gängigen Frameworks dieses Ökosystems ebenso einbinden wie in eigenständige Anwendungen. Auf einem Entwicklerrechner ist sie unauffällig und äußerst nützlich. Auf einer Produktivdomain bedeutet sie dagegen, dass die Anwendung Debug-Ausgaben an die Öffentlichkeit ausliefert, und dasselbe Panel, das einem Entwickler hilft, beschreibt jedem, der die Seite öffnet, auch die Datenbankstruktur, das verwendete Framework und den Aufbau interner Requests.

Die Zielgruppe für eine solche Liste ist ungewöhnlich, denn interessant ist hier der Fehler, nicht das Produkt. Sicherheitsforscher messen damit, wie verbreitet eine Fehlkonfiguration tatsächlich ist, statt mit Einzelfällen zu argumentieren. Anbieter von Lösungen für Attack-Surface- und Asset-Management zeigen damit einem Kunden, der nicht glaubt, dass das Problem im eigenen Haus existiert, wie groß die Gefährdung in der Breite ist. Hosting-Anbieter finden damit Konten, die nur einen Seitenaufruf davon entfernt sind, Abfragetexte preiszugeben. Die Entwickler von Frameworks und Werkzeugen lesen denselben Datensatz aus einem ganz anderen Grund, nämlich als grobe Erhebung darüber, wo ihr Stack im Einsatz ist.

Es gibt eine zweite Lesart derselben Daten, die mit Sicherheitsfragen nichts zu tun hat. Eine Debugging-Toolbar wird von einem aktiven Entwicklerteam installiert, nicht von einem Website-Baukasten oder einem Installationsassistenten des Hosters. Ihre Verbreitung zeigt deshalb, wo tatsächlich individuelle Anwendungen entwickelt werden, und zwar in einer Sprache, deren öffentliches Bild sonst von Content-Management-Systemen geprägt ist. Für alle, die an Entwicklungsfirmen statt an Website-Betreiber verkaufen, ist die Unterscheidung zwischen einer von Hand gebauten Anwendung und einer fertigen Plattform bereits die eigentliche Segmentierung, und nur wenige Signale ziehen diese Grenze so sauber.

Eine nüchterne Einordnung zählt hier mehr als die Gesamtzahl. Die Erkennung sieht die Assets und Markierungen, die die Toolbar in einer ausgelieferten Seite hinterlässt, was ein starkes Indiz ist, aber keine Bestätigung dafür, dass das Panel für jeden Besucher erscheint, denn manche Installationen liegen hinter einer Freigabeliste für Adressen oder einer authentifizierten Sitzung. Gebündelte Assets können außerdem noch lange in einem Build überdauern, nachdem der eigentliche Collector abgeschaltet wurde. Stand Oktober 2026 verzeichnen wir 1.322 Websites, und jede davon ist ein Hinweis, den man prüfen sollte, keine bestätigte Gefährdung.

Eine Prüfung pro Domain klärt eine Frage zu einer einzigen Website, meist nachdem schon etwas schiefgegangen ist. Die herunterladbare Liste unterstützt die umgekehrte Art von Arbeit. Man kann die Verbreitung in einem Land oder unter einer Endung messen, beobachten, ob sie zurückgeht, nachdem ein Framework seine Standardeinstellungen geändert hat, und den betroffenen Bestand finden, bevor jemand mit weniger freundlichen Absichten danach sucht.