Télécharger les sites web qui utilisent Apereo CAS

À propos de Apereo CAS

L’authentification unique universitaire est l’une des rares briques d’infrastructure d’authentification qu’un visiteur est censé voir. La page de connexion est publique, elle porte l’identité visuelle de l’établissement, et elle réside en général sur un nom d’hôte à elle, distinct du site qui y a envoyé l’utilisateur. C’est cette habitude d’architecture qui rend ce logiciel à la fois détectable et très largement sous-évalué.

Un service d’authentification centralisé est la porte d’entrée de tout le reste de ce qu’une organisation exploite. La messagerie, les systèmes de bibliothèque, les plateformes de cours, les portails de subventions et les outils internes lui délèguent tous, si bien que sa présence suppose un établissement doté de nombreuses applications et une décision, prise de façon centrale, voulant qu’une seule identité les ouvre toutes. Personne ne déploie ce type de logiciel pour protéger un seul site.

En octobre 2026 nous le détectons sur 10 noms d’hôtes. Le total est faible et la raison en est structurelle plutôt que commerciale. Les serveurs de connexion résident sur des sous-domaines rarement liés depuis une page d’accueil et souvent exclus de l’exploration, et beaucoup d’établissements les placent derrière un portail qui n’apparaît qu’après une redirection. Une organisation peut faire tourner ce logiciel pour des dizaines de milliers de personnes et n’apparaître qu’une fois, voire pas du tout, dans un index public du web. Le chiffre atteste d’une présence, il ne mesure pas un parc installé.

La fiche est ici exceptionnellement complète pour un projet communautaire. Le logiciel est écrit en Java, distribué sous licence Apache 2.0, et notre première année pour lui est 2004, ce qui le rend plus ancien que plusieurs des protocoles d’identité qu’il parle aujourd’hui. La tutelle revient à Apereo Foundation, une fondation et non une société, et le modèle de gouvernance explique une partie du schéma de déploiement. Le code ne coûte rien à adopter, donc le vrai prix est le temps des équipes, et du temps d’équipe, une université en a quand une petite entreprise n’en a pas.

Notre catalogue le range dans la catégorie Authentication, et pour un chercheur cette étiquette sous-estime ce que signifie une détection. Un site qui fait tourner son propre serveur d’identité Java vous dit qu’il n’a pas acheté de produit de connexion hébergé, qu’il conserve une équipe d’exploitation, et que tout fournisseur qui veut lui vendre quelque chose doit s’intégrer à une fédération existante plutôt que la remplacer. Les chercheurs en sécurité lisent le même signal à l’envers, parce qu’une porte d’entrée exploitée en propre est autant une obligation de correctifs qu’une architecture, et les sites qui en portent une méritent d’être surveillés quand un bulletin pertinent tombe.

Une requête domaine par domaine indique si un établissement donné l’exploite. La liste exportée dit qui d’autre le fait, quels pays et quels suffixes de domaine se regroupent, et quelles organisations devraient être abordées avec un discours d’intégration plutôt qu’avec une proposition de remplacement. Construire cela à partir de requêtes isolées supposerait de deviner d’abord le nom d’hôte de chaque serveur de connexion sur l’internet, ce qui relève moins d’une méthode de recherche que d’un passe-temps.