Descargar sitios web que utilizan OpenSSL

Acerca de OpenSSL

Casi todo lo demás de este conjunto de datos se detecta porque un sitio decidió publicarlo. OpenSSL es distinto, porque suele aparecer solo cuando un servidor ofrece información que no tenía obligación de enviar. Una cabecera de respuesta que nombra la biblioteca criptográfica, y a veces su compilación exacta, es un detalle de configuración y no una decisión de diseño, y sobrevive en la internet pública sobre todo por descuido. Cualquier análisis construido sobre esta fila tiene que partir de ese hecho, porque la población no son los sitios que usan la biblioteca. La población son los sitios que la revelan.

La distinción es grande. La biblioteca está por debajo de una porción muy amplia de la infraestructura de internet, dentro de servidores web, servidores de correo, entornos de ejecución de lenguajes, balanceadores de carga, bases de datos y equipos dedicados, así que la cifra de uso real resulta inalcanzable desde fuera por un margen enorme. En octubre de 2026 la detectamos en 337.312 sitios, y ese número debe leerse como el subconjunto que la revela. Los servidores configurados para suprimir los rótulos de versión, o situados tras un proxy que reescribe las cabeceras, están ausentes por construcción, y son, en una proporción desmedida, los administrados de forma profesional.

El subconjunto que la revela sigue siendo valioso, y lo es precisamente por aquello con lo que se correlaciona esa revelación. Un servidor que todavía anuncia su biblioteca criptográfica tiende a ser un servidor que se configuró una vez y al que nadie volvió a tocar. Los datos de versión respaldan esa lectura. Entre los sitios en los que la versión es legible registramos 203 cadenas distintas, y la que anotamos con más frecuencia es 1.0.2k, una versión de una época del software que terminó hace años. Una larga cola de compilaciones envejecidas es el estado normal de una infraestructura que no tiene dueño.

Aquí hay que enunciar las salvedades con firmeza, porque este es el punto en el que más fácilmente se hace mal uso de un conjunto de datos. Una cadena de versión no es una evaluación de vulnerabilidades. Las distribuciones empresariales retroportan las correcciones de seguridad manteniendo el número de versión original, de modo que una compilación que parece antiquísima puede estar completamente parcheada, y el rótulo nunca lo dirá. La cadena declarada también puede proceder de un valor por defecto de la compilación y no de la biblioteca en ejecución. Quien trate estos valores como una lista de objetivos está haciendo algo técnicamente equivocado y éticamente indefendible. Los usos legítimos son el inventario, la gestión del parque, la investigación y la evaluación de riesgo de proveedores, y todos ellos dependen de saber qué expone su propio parque o sus propios proveedores.

Leído así, el archivo responde a preguntas que las comprobaciones por dominio no pueden. Un investigador de seguridad que se pregunte con qué rapidez retira la web las compilaciones criptográficas antiguas necesita una población y observaciones repetidas, no una sola respuesta. Un proveedor de alojamiento que audite su propio espacio de direcciones necesita todos los sitios que opera, no solo los que ya generaron una queja. Un equipo de compras que evalúe a sus proveedores necesita comprobar de una vez la lista entera. Filtrar por país, donde 78.142 de esos sitios se concentran en Estados Unidos, o por sufijo, donde .com es el que registramos con más frecuencia, acota cualquiera de esas tareas al parque que de verdad le concierne.

El contexto también ayuda. Mantenida por OpenSSL Project con licencia Apache 2.0 y disponible desde 1998, la biblioteca ha sobrevivido a la mayor parte del software construido sobre ella, y por eso su historial de versiones es uno de los mejores indicadores disponibles de cuánto tiempo lleva funcionando un servidor determinado sin que nadie lo toque.