Websites herunterladen, die Swagger UI nutzen

Über Swagger UI

Eine Seite, die mit Swagger UI gerendert wird, ist eine öffentliche Erklärung, dass ein Unternehmen eine API hat und möchte, dass sie genutzt wird. Das Tool verwandelt eine OpenAPI-Beschreibung in eine durchklickbare Oberfläche, auf der ein Entwickler jeden Endpunkt liest, jeden Parameter aufklappt und Live-Anfragen direkt aus dem Browser abschickt, und Organisationen stellen es bewusst auf einen öffentlichen Hostnamen. Ein Fund auf einer Domain klärt eine geschäftliche Frage, noch bevor er eine technische klärt: Diese Organisation bietet programmierbaren Zugriff auf etwas, das ihr gehört.

Der Anbieter SmartBear Software pflegt das in JavaScript geschriebene Projekt unter der Lizenz Apache 2.0, und seine Geschichte reicht bis 2011 zurück, bis zu jenem ursprünglichen Spezifikationsformat, aus dem später OpenAPI wurde. Die Oberfläche wird im Browser aus einer statischen Beschreibungsdatei zusammengesetzt, und genau deshalb lässt sie sich erkennen. Ein damit gebautes Dokumentationsportal liefert wiedererkennbare Asset-Namen und eine vorhersehbare Seitenstruktur aus, und beides bleibt bei fast jedem Deployment erhalten, weil Teams, die eine Marketing-Website bereitwillig umgestalten, sich bei der Entwicklerdokumentation selten diese Mühe machen.

Stand Oktober 2026 sehen wir Swagger UI auf 523 Websites, eingeordnet in die Kategorie Documentation. Die interessante Spalte ist hier die Version. Die Streuung der Versionen wiegt bei diesem Tool schwerer als bei den meisten Frontend-Bibliotheken, denn in seiner Geschichte gab es wiederholt Cross-Site-Scripting-Lücken, die in bestimmten Releases behoben wurden, und ein Dokumentationsportal ist genau die Art von Ressource, die nie ein Wartungsfenster bekommt. Ein Portal, das auf einem alten Release festhängt, ist meist ein Portal, für das niemand zuständig ist.

Die Art der Bereitstellung bestimmt, was überhaupt sichtbar ist. Manche Organisationen liefern die Dokumentation über eine Subdomain ihrer Hauptwebsite aus, manche über ein gehostetes Entwicklerportal-Produkt, und manche halten die Oberfläche in einem Unternehmensnetz, in das nie ein Crawler gelangt. Die Erkennung erfasst die öffentlichen und selbst gehosteten Fälle, erfasst alles hinter einer Anmeldung nur unvollständig und kann die viel größere Zahl von Teams nicht sehen, die das Tool nur während der Entwicklung auf ihren eigenen Rechnern betreiben.

Für die Recherche ist die so entstehende Datei ein Verzeichnis von Unternehmen mit programmierbaren Produkten, und so etwas lässt sich auf anderem Weg nur sehr schwer zusammenstellen. Niemand veröffentlicht ein Register darüber, wer eine öffentliche API betreibt. Vertriebsteams, die API-Gateways, Contract-Testing, Monitoring, Dokumentations-Hosting oder Anwendungssicherheit verkaufen, wollen diesen Bestand nach Land, Branche und Endung aufgeschlüsselt sehen. Sicherheitsforscher wollen ihn nach Version aufgeschlüsselt. Analysten wollen wissen, welche Sektoren programmierbar werden und wie schnell die Menge wächst.

Eine Abfrage pro Domain zeigt Ihnen, ob ein Unternehmen heute eine API dokumentiert. Der Export zeigt, wer zum Bestand gehört, welche Versionen er einsetzt, was diese Domains sonst noch betreiben und wie sich die gesamte Gruppe zwischen einem datierten Snapshot und dem nächsten unterscheidet, und darin liegt der Unterschied zwischen dem Bestätigen einer Tatsache und dem Recherchieren.