Descargar sitios web que utilizan git

Acerca de git

Nadie elige git como tecnología de un sitio web, y por eso mismo conviene leer con atención cuando aparece en un perfil tecnológico. Un sistema de control de versiones tiene su sitio en las máquinas de los desarrolladores y en los servidores de compilación, no en la raíz de documentos de un servidor web público. Cuando un análisis encuentra artefactos relacionados con git en un sitio en producción, la explicación habitual es que un despliegue copió un repositorio de trabajo en el directorio que el servidor web publica al mundo.

En octubre de 2026 registramos artefactos de ese tipo en 57 sitios. El recuento es una cota inferior, y bastante superficial. La detección depende de que los ficheros sean accesibles por HTTP simple, así que un servidor configurado para denegar las peticiones a directorios que empiezan por punto, una regla de CDN que las bloquee o un proceso de publicación que copie la salida compilada en lugar del árbol de trabajo dejan al sitio fuera de la lista aunque la práctica de fondo sea idéntica. La población visible para un rastreador es el subconjunto que tiene fugas.

Lo que sí significa una coincidencia es concreto y útil. Los metadatos de un repositorio alojados en una raíz web pública pueden dejar al descubierto el historial de commits, los nombres de las ramas, las direcciones de los autores, rutas internas y, en algunas configuraciones, el propio código fuente de la aplicación, incluidos ficheros borrados en commits posteriores que sobreviven en el almacén de objetos. Para un investigador de seguridad, la lista de dominios es un muestreo de una mala configuración muy conocida en toda la web en producción. Para quien estudia las prácticas de despliegue, esa misma lista es una prueba de cómo se publican realmente los sitios, ya sea copiando un directorio de trabajo, haciendo pull en el servidor o haciendo checkout dentro de la ruta servida.

Aquí la información de versiones funciona de forma distinta a la de cualquier producto alojado. Nuestro registro guarda 5 valores de versión distintos, con 2.45.2 como el más declarado. Una cadena de versión que nos llega describe el cliente que escribió los metadatos expuestos, no un software que el responsable del sitio haya decidido servir, de modo que la dispersión de valores en un conjunto de este tamaño refleja sobre todo la antigüedad de cada despliegue y no ninguna política de actualización.

El resto de lo que registramos es contexto más que señal. Hay una licencia GPL v2, 2005 como año de la primera versión y una implementación en C, y nada de eso varía entre los sitios en cuestión, porque ninguno de ellos está usando la herramienta como servicio. La variación que importa está en quién ha tenido la fuga y en qué contiene esa fuga.

Una comprobación por dominio responde a una pregunta muy acotada: si un sitio del que ya es responsable está exponiendo datos de repositorio. El conjunto descargable responde a lo que una consulta no puede. Cómo de común es la exposición en un segmento, si se concentra por plataforma, por proveedor de alojamiento o por país, y si una base de clientes está en mejor estado que la web que la rodea. Todas esas son preguntas de población, y las preguntas de población necesitan la lista.