Télécharger les sites web qui utilisent Apache Tomcat

À propos de Apache Tomcat

Un serveur d’applications Java parle rarement au visiteur en direct. Apache Tomcat se place le plus souvent derrière Apache HTTP Server ou Nginx, ce qui fait qu’une analyse du web ouvert voit le proxy et non le conteneur qui se trouve dessous. Tout décompte public d’un serveur d’applications, celui-ci compris, est un plancher et non un total.

Ce que nous pouvons voir, ce sont les déploiements qui s’annoncent, par un en-tête de serveur, une page d’erreur par défaut, un chemin reconnaissable ou un point d’administration resté joignable. En octobre 2026 l’ensemble visible atteint 31 263 sites. Nous ne relevons que 3 chaînes de version distinctes, bien moins que ce que le projet a publié, ce qui est en soi instructif : les équipes qui durcissent un conteneur commencent par retirer la bannière, si bien que les versions lisibles penchent vers les installations que personne n’a verrouillées. La version 5.5 revient assez souvent dans cette population pour mériter d’être signalée, et un conteneur qui annonce encore une ligne de version de cette époque appartient en général à une application que personne n’a redéployée depuis des années.

La géographie se comporte étrangement pour ce logiciel. Sur les sites que nous détectons, 13 470 se trouvent à Hong Kong, une concentration qui tient davantage à l’offre d’hébergement qu’au lieu où les applications ont été écrites, tandis que .com porte une bonne partie du reste. Les applications Java atterrissent sur l’infrastructure que l’opérateur loue, et les fournisseurs régionaux qui déploient la même image de stack sur chaque instance client produisent des grappes qui ressemblent à des préférences nationales mais ne sont que la configuration par défaut d’un seul fournisseur.

L’intérêt d’une détection pour la recherche, c’est qu’elle identifie la stack derrière la porte. Java sur le serveur suppose un historique d’achats d’entreprise, une équipe de développement interne ou un produit fournisseur livré sous forme d’archive déployable, et un cycle de maintenance qui se mesure en trimestres plutôt qu’en publications de code. Les fournisseurs de sécurité, ceux de la performance applicative et les cabinets qui vendent des travaux de migration visent tous ce profil. Ceux qui rédigent les bulletins de vulnérabilité aussi, eux qui ont besoin de connaître la taille de la population exposée avant qu’une divulgation ne tombe.

Maintenu par Apache Software Foundation et diffusé sous licence Apache 2.0, le conteneur est en usage continu depuis 1999, assez longtemps pour qu’un chiffre unique écrase plusieurs populations distinctes : des conteneurs à jour qui font tourner des applications à jour, des produits de type appliance qui embarquent le serveur de façon invisible, et des déploiements abandonnés qui répondent encore sur un port oublié.

Vérifier un hôte vous apprend si cet hôte a admis faire tourner le conteneur lors d’une requête. L’export permet de répondre aux questions qui exigent la population entière : quelle part du parc installé visible repose sur une ligne de version qui n’est plus maintenue, quels pays et quels suffixes la portent, et lesquels de ces domaines exposent aussi un chemin d’administration ou associent le conteneur à un proxy inverse particulier. Parce que l’ensemble visible est un sous-ensemble du réel, l’usage honnête de ces données est comparatif. Les mouvements d’un instantané à l’autre et les écarts entre segments tiennent debout même là où le total brut reste prudent.