Websites herunterladen, die SonarQubes nutzen

Über SonarQubes

Ein Server für Codequalität sollte überhaupt nicht im offenen Web erreichbar sein. Die Plattform hinter diesem Fingerprint läuft innerhalb einer Build-Pipeline, liest den Quellcode eines Unternehmens und meldet Bugs, Schwachstellen und angehäufte Notlösungen an die Entwickler, die sie geschrieben haben, und ihr natürlicher Lebensraum ist ein internes Netzwerk. Wenn ein Crawl öffentlicher Websites auf einen solchen Server stößt, ist nicht die Software das Interessante, sondern die Tatsache, dass er offen erreichbar ist.

Zunächst ein Hinweis zum Namen. Unser Eintrag trägt am Ende einen Buchstaben, den die Schreibweise des Anbieters nicht hat. Das ist ein Artefakt der Benennung des Fingerprints und kein Hinweis auf ein eigenständiges Produkt. Anbieterfeld, Lizenz und Projektwebsite verweisen alle auf dieselbe Java-Plattform, die vom Anbieter SonarSource unter der Lizenz LGPL veröffentlicht wird und aus dem Jahr 2007 stammt.

Stand Oktober 2026 sehen wir die Plattform auf 25 Hosts antworten. Bei einer Plattform, deren übliches Zuhause ein Build-Server ist, verrät schon eine so kleine Zahl das Entscheidende: Erkennen können wir den Anteil der Instanzen, deren Dashboard unter einer öffentlichen Adresse antwortet, nicht die installierte Basis. Jede andere Instanz steht hinter einer Firewall oder in einem privaten Netzwerk, wo sie hingehört.

Für Forschende ist die Lesart eindeutig. Eine öffentlich erreichbare Instanz deutet auf eine Organisation hin, die ihre eigene Continuous Integration betreibt, auf eigener Hardware oder im eigenen Cloud-Konto, und genug Entwicklerpersonal hat, um ein Quality Gate überhaupt zu rechtfertigen. Ein öffentliches Dashboard deutet außerdem auf einen Konfigurationsfehler hin oder zumindest auf die Entscheidung, eine Seite, die die Schwachstellen eines Projekts namentlich auflistet, für jeden lesbar stehen zu lassen. Sicherheitsteams behandeln einen solchen Fund als Arbeitsauftrag. Vertriebsteams behandeln denselben Host als qualifizierten Lead, denn eine selbst gehostete Qualitätsplattform sagt mehr über ein Entwicklungsbudget aus als eine Stellenanzeige.

Die Einschränkungen sind die üblichen, nur wiegen sie hier schwerer als anderswo. Ein Anmeldebildschirm kann so weit gehärtet sein, dass das Produkt gar nicht mehr zu erkennen ist, ein Reverse Proxy kann die Pfade umbenennen, auf die ein Fingerprint angewiesen ist, und Instanzen kommen und gehen zwischen zwei Crawls, wenn jemand die offene Tür bemerkt und schließt. Unsere Zahl ist eine Untergrenze, ermittelt aus dem, was an einem bestimmten Tag öffentlich antwortet.

Ob ein einzelnes Unternehmen einen Build-Server offen zugänglich macht, klärt ein Scanner, den man auf dieses Unternehmen richtet. Welche Hosts im gesamten Internet einen solchen Server offen zugänglich machen, welche davon auf Unternehmensdomains liegen statt auf dem privaten Rechner eines Entwicklers und wie sich diese Menge von Crawl zu Crawl verändert, kann dagegen nur eine herunterladbare Liste beantworten.