Télécharger les sites web qui utilisent Application Request Routing

À propos de Application Request Routing

Rien dans Application Request Routing ne s’adresse au propriétaire d’un site. ARR est une extension d’IIS de Microsoft qui transforme une machine Windows en proxy inverse, en répartiteur de charge et en cache, et son installation revient à ceux qui exploitent l’infrastructure, en général une couche située au-dessus des sites qui finissent derrière elle.

La conséquence est qu’une détection relève ici du signal de parc et non du signal de site. Là où ce proxy se place devant un domaine, le domaine appartient à un environnement Windows Server : services d’annuaire, IIS, très probablement des applications ASP.NET derrière le proxy, une équipe d’exploitation rompue à l’outillage Microsoft, et un processus d’achat qui s’approvisionne déjà auprès de Microsoft sous licence Proprietary. Une seule installation peut servir de façade à des dizaines de noms d’hôte, si bien que les sites que nous enregistrons sont la surface visible d’un nombre bien plus réduit de déploiements réels et d’un nombre bien plus réduit de décisions d’achat.

Le tableau des versions est d’une platitude inhabituelle. Nous enregistrons 2 versions distinctes et 3.0 couvre l’essentiel de ce que nous voyons, ce qui signifie que la colonne de version n’est pas un axe de segmentation utile pour cette technologie, contrairement à ce qu’elle est pour un serveur web qui évolue vite. ARR change lentement, se diffuse par l’outillage de la plateforme et se met à niveau au rythme propre du serveur plutôt qu’au rythme de publication d’une application.

En octobre 2026 l’extension est visible sur 33 809 sites. Parmi eux, 12 667 se trouvent aux États-Unis, et .com domine du côté des domaines, une répartition qui suit l’implantation des parcs de serveurs Windows plutôt que quoi que ce soit de propre aux sites eux-mêmes, puisque l’extension est installée par celui qui exploite le serveur et non choisie par les applications placées derrière elle.

La détection dépend de ce que le proxy consent à dire de lui-même. ARR s’annonce par défaut dans les en-têtes de réponse, mais les administrateurs suppriment ou réécrivent couramment ces en-têtes, et un CDN placé devant l’origine efface complètement la trace. La population visible penche donc vers les parcs qui n’ont jamais durci leurs en-têtes, ce qui a tendance à aller de pair avec des parcs qui n’ont jamais durci grand-chose d’autre, et cette corrélation est précisément la raison pour laquelle les fournisseurs de sécurité veulent le fichier. Cabinets de migration, fournisseurs cloud qui vendent une sortie de l’infrastructure Windows autogérée, concurrents dans la distribution applicative et testeurs d’intrusion cherchent tous la même chose : non pas la confirmation qu’un domaine donné fait tourner le proxy, mais l’ensemble complet des organisations qui exposent encore des sites publics derrière lui, découpé par pays, par TLD et par tout ce qui l’accompagne dans les données de la catégorie Load balancers. Une requête unique ne peut pas faire apparaître un motif à l’échelle d’un parc. Le téléchargement, si.