Descargar sitios web que utilizan CouchDB

Acerca de CouchDB

Un motor de base de datos no pinta nada, a primera vista, en un estudio de sitios web, y la razón por la que este sí aparece es la misma por la que la ficha merece leerse. CouchDB responde directamente por HTTP, así que se puede llegar a su interfaz en un nombre de host igual que a un servidor web, y un rastreador que pregunta obtiene una respuesta que nombra el software y su versión.

La detección es por tanto una afirmación sobre la exposición y no sobre la adopción. La gran mayoría de las instalaciones se sitúan en redes privadas, tras cortafuegos o atadas a una interfaz de bucle local a la que nada de fuera de la propia máquina puede llegar, y ninguna de ellas entrará jamás en nuestro índice. En octubre de 2026 registramos 16 servidores. Una cifra de ese tipo mide con qué frecuencia la interfaz resulta accesible desde la internet pública, que es una cantidad distinta y mucho menor que la frecuencia con la que se usa el software, y ningún lector debería tomarla como una base instalada.

La accesibilidad es justo lo que hace interesante la lista. Un endpoint de base de datos expuesto es ya un hallazgo por sí mismo para un investigador de seguridad, y la versión asociada convierte ese hallazgo en una pregunta concreta sobre nivel de parcheo y configuración. Registramos 3.5.1 como cadena de versión y 8 versiones distintas en toda la población, una dispersión amplia para un grupo de servidores tan pequeño, que apunta a despliegues de larga vida configurados una vez y luego olvidados. Las versiones más antiguas dentro de una dispersión así son las filas que conviene contrastar primero con los avisos de seguridad publicados.

El resto del registro explica por qué nadie tiene una lista mejor. CouchDB lo publica Apache Software Foundation bajo licencia Apache 2.0 y existe desde 2005, escrito en Erlang, un lenguaje elegido por las propiedades de concurrencia y tolerancia a fallos que necesita una base de datos con replicación. Nada de ese modelo produce un registro de clientes. No se venden licencias, no se cuentan puestos y no existe un canal de ventas del proveedor que filtre cifras a una nota de prensa, así que una población observada a partir de un rastreo es el único mapa de mercado que alguien puede construir, el nuestro incluido, y hay que reconocer que es un mapa parcial.

Tres grupos le sacan uso real al fichero. Los equipos e investigadores de seguridad quieren los servidores accesibles con sus versiones adjuntas para poder priorizar el trabajo de divulgación por riesgo y no por orden alfabético. Quien dimensiona el segmento de las bases de datos documentales, o el ecosistema alrededor del lenguaje de implementación, quiere una cota inferior que pueda defender ante un público escéptico, y un recuento derivado de un rastreo es al menos medible de una manera en que los totales de descargas no lo son. Los proveedores competidores y las consultoras quieren esos servidores como posibles clientes, con la teoría razonable de que un endpoint dejado abierto a internet pertenece a un equipo al que le vendría bien ayuda. Una comprobación servidor por servidor confirma una máquina de la que alguien ya sospechaba. El fichero da la población, y la población es lo que exige en realidad cada una de esas preguntas.