Descargar sitios web que utilizan Kong

Acerca de Kong

Una pasarela de API se construye para no llamar la atención. Kong se sitúa entre los clientes y los servicios que hay detrás, termina las peticiones, comprueba credenciales, contabiliza llamadas y reenvía lo que sobrevive, y una instalación bien configurada deja muy poca constancia de sí misma en una respuesta. Una lista de dominios donde la pasarela llega siquiera a ser visible es, por tanto, una lista de instalaciones que o bien decidieron no ocultarse o bien nunca se ajustaron para hacerlo.

La superficie de observación importa tanto como la detección. Las pasarelas suelen residir en un subdominio api o en un nombre de host interno, mientras que un conjunto de datos de tecnologías web mira lo que sirve un sitio público. Una coincidencia aquí significa por lo general que la pasarela va delante de la propia propiedad pública, un patrón de despliegue distinto y menos habitual que el corriente, y suele indicar un equipo que puso todo su borde de red detrás de un único componente de la categoría Reverse proxies en lugar de un proxy aparte para el sitio web.

Donde la pasarela sí es visible, la implicación es organizativa y no cosmética. Un equipo que coloca Kong delante de sus servicios tiene interfaces que merece la pena gobernar, más de un backend y alguien cuyo puesto incluye límites de tasa, autenticación y política de tráfico. Escrita en Lua sobre un núcleo de proxy consolidado, la pasarela la eligen los ingenieros de plataforma y no quien escogió el gestor de contenidos, y suele llegar acompañada de orquestación de contenedores, un registro de servicios y un flujo de despliegue.

La licencia Apache 2.0 explica buena parte de la dispersión. Kong Inc. publica un núcleo abierto que cualquiera puede ejecutar sin hablar jamás con un comercial, junto a una edición comercial y un servicio gestionado, así que las instalaciones van desde un solo contenedor delante de un proyecto de aficionado hasta el parque de sistemas de una empresa regulada. Lanzada por primera vez en 2015, la pasarela apareció justo cuando las arquitecturas de microservicios se estaban convirtiendo en la opción por defecto, y una parte importante de lo que detectamos pertenece a sistemas diseñados en ese periodo.

Es en los datos de versión donde el panorama se vuelve incómodo para quien es responsable de un parque. Registramos 72 versiones distintas en circulación, de las cuales 1.4.1 se repite más que ninguna otra, y una pasarela autoalojada no se actualiza sola. Las compilaciones antiguas siguen sirviendo tráfico porque funcionan, porque los complementos fijados a ellas nunca se volvieron a probar o porque el ingeniero que las desplegó ya no está. Para la investigación de seguridad, la distribución entre dominios es más útil que cualquier total, porque un aviso de seguridad cubre un rango de versiones y no un nombre de producto.

En octubre de 2026 vemos Kong en 5901 sitios, y la cifra debe leerse como una cota inferior. Las pasarelas situadas detrás de una red de distribución de contenidos que reescribe cabeceras, o configuradas para eliminar las respuestas que las identifican, sencillamente no afloran nunca. Lo que ofrece un extracto completo más allá de una consulta puntual es la forma de la población: qué sectores estandarizaron la pasarela, qué parques la ejecutan junto a un proxy rival y qué dominios siguen en versiones que cubre un aviso concreto. Los equipos de los proveedores usan listas así para investigar dónde pueden desbancar a la competencia, los equipos de seguridad para cartografiar la exposición y los analistas para juzgar si un núcleo abierto se ha convertido de verdad en infraestructura de pago.