Télécharger les sites web qui utilisent Atlassian Confluence

À propos de Atlassian Confluence

Confluence est censé rester privé. Un wiki contient des procédures d’exploitation, des comptes rendus de réunion, des décisions d’architecture et des politiques à moitié rédigées, si bien que l’état normal d’une instance est derrière une authentification ou sur un réseau privé qu’aucun robot d’exploration n’atteindra jamais. Toute instance visible depuis l’internet ouvert est déjà inhabituelle : soit l’organisation publie de la documentation délibérément, soit une page de connexion a été laissée tournée vers l’extérieur, soit quelque chose est ouvert qui devait être fermé.

La deuxième chose que la fiche vous apprend est le modèle de déploiement. Les locataires cloud des produits Atlassian résident sur le domaine du fournisseur lui-même, si bien qu’une empreinte Confluence sur le nom d’hôte d’une entreprise désigne une installation autogérée qui tourne sur une infrastructure que cette entreprise contrôle. Autogéré veut dire une application Java, une base de données, un calendrier de mises à niveau et quelqu’un qui porte la responsabilité des trois.

En octobre 2026 nous voyons Atlassian Confluence sur 55 sites, répartis sur 23 versions distinctes, et 8.7.2 revient plus souvent que toute autre dans nos données. Un étalement de versions aussi large sur un groupe aussi restreint résume à lui seul l’histoire du logiciel d’entreprise auto-hébergé. Les mises à niveau sont des projets, les projets sont reportés, et les instances s’écartent les unes des autres année après année. Le champ de version est aussi ce qui rend cette fiche commercialement intéressante, car pour un produit doté d’un long historique d’avis de sécurité publics, la version en service est une déclaration directe sur l’exposition.

Être précis sur ce champ compte davantage que de le citer. Nous lisons la version que l’application déclare elle-même dans son balisage ou dans ses en-têtes, ce qu’un exploitant peut supprimer, et nous ne pouvons pas voir si un correctif du fournisseur a été appliqué par-dessus la version déclarée. Une version déclarée est un élément de preuve, pas un verdict, et quiconque agit sur cette base devrait d’abord vérifier auprès de l’hôte. Les instances placées derrière un proxy qui réécrit ces indications manquent purement et simplement à notre décompte, si bien que la population visible est plus petite que la population réelle.

Trois publics veulent la liste, pour des raisons différentes. Les équipes et les chercheurs en sécurité veulent la population des instances autogérées joignables publiquement, parce que c’est dans un wiki qu’une organisation consigne ses détails internes. Les cabinets de conseil la veulent parce que chaque instance autogérée restante est un projet de migration qui attend d’être chiffré, et la distribution des versions leur dit quels devis sont urgents. Les concurrents la veulent comme carte des comptes qui paient déjà pour une plateforme de documentation commerciale, ce qui est une conversation plus courte que de persuader une entreprise d’en acheter une tout court.

Une vérification domaine par domaine indique si une entreprise donnée l’utilise. L’export répond à ce qui n’existe qu’en agrégat : combien d’instances autogérées restent visibles, comment la distribution des versions se déplace d’une mise à jour à l’autre, dans quels secteurs et chez quels hébergeurs elles se regroupent, et à quelle vitesse le groupe se réduit à mesure que les organisations passent aux éditions hébergées. Vendu sous licence Proprietary depuis 2004 et facturé par utilisateur, le produit ne laisse aucune liste publique de clients, de sorte qu’un recensement d’empreintes mené de l’extérieur est la seule vue du parc installé accessible à qui ne travaille pas chez le fournisseur.