Descargar sitios web que utilizan Clockwork

Acerca de Clockwork

Nadie instala una barra de depuración para que la lean desconocidos. Escrito en PHP y publicado bajo la licencia MIT desde 2013, Clockwork reside dentro de una aplicación en marcha y registra tiempos, consultas a la base de datos, salida de registro y cargas útiles de las peticiones, y luego entrega la colección a una extensión del navegador o a un visor independiente. En el portátil de un desarrollador eso es exactamente lo que se busca. En un servidor público se convierte en una descripción de las entrañas de la aplicación, a disposición de cualquiera a quien se le ocurra pedirla.

Una detección admite por tanto dos lecturas a la vez. Una es técnica: el sitio funciona con una aplicación PHP, casi con certeza construida sobre uno de los frameworks en los que se engancha la barra, lo que acota la pila mucho más que un banner de servidor. La otra es de procedimiento: una configuración pensada para el trabajo local llegó a producción con la instrumentación encendida, o un servidor de preproducción se publicó en abierto en internet sin que nadie lo notara. Ninguna de las dos lecturas deja en buen lugar al operador, y las dos resultan útiles si su trabajo consiste en encontrar sitios donde la configuración se ha desviado.

Como la barra se distribuye como biblioteca y no como etiqueta alojada, su versión forma parte de la huella. Ahora mismo separamos 29 cadenas de versión distintas entre las instalaciones que responden, con 5.3.3 como el valor más frecuente. Una dispersión de esa amplitud en una dependencia de desarrollo suele significar que el paquete se fijó una vez al empezar el proyecto y luego no se volvió a tocar, lo que es una declaración sobre los hábitos de mantenimiento tanto como sobre el paquete.

La detección aquí es inferencial, y se queda corta. La barra se puede instalar con su interfaz desactivada, restringida por dirección, dirigida a un puerto que nadie escanea o habilitada solo cuando se activa un indicador de depuración, y en cada uno de esos casos la aplicación está instrumentada sin que nos llegue nada. Contar Clockwork significa contar las instalaciones que responden, no las instalaciones que existen. En octubre de 2026 lo registramos en 284 sitios, y la cifra merece leerse como una cota inferior y no como un censo.

La lista descargable responde a una pregunta que comprobar un dominio cada vez no puede resolver. Una sola consulta le dice si un servidor concreto está expuesto. La población completa le dice hasta qué punto es común la exposición, en qué proveedores de alojamiento y en qué comunidades de frameworks se concentra, y si el recuento se mueve a medida que los mantenedores endurecen sus valores por defecto. Los investigadores de seguridad usan una lista así para dimensionar una clase de configuración errónea antes de decidir si merece un informe. Los proveedores que venden herramientas de perfilado, seguimiento de errores o supervisión de aplicaciones al mundo PHP leen las mismas filas como un mapa de equipos que ya instrumentan su código y que han recurrido primero a una opción gratuita.