Télécharger les sites web qui utilisent AWStats

À propos de AWStats

Avant qu’un traceur puisse suivre un visiteur depuis l’intérieur du navigateur, la seule trace de qui avait atteint un site web était le fichier de journal du serveur lui-même, et AWStats a été écrit pour le lire. Le programme analyse les journaux d’accès bruts et les restitue sous forme de pages de comptes, de référents, de chemins demandés, d’agents utilisateurs et de localisations déduites. Aucun script n’entre dans le site, rien ne s’exécute dans le navigateur du visiteur et on ne demande jamais son accord à ce dernier, ce qui explique que l’approche n’ait jamais complètement disparu, même après que la mesure côté client a pris le dessus.

L’âge fait partie de l’histoire. Le projet remonte à 1997 et il est écrit en Perl, une combinaison qui convenait à l’époque de l’hébergement mutualisé, quand un panneau de contrôle et un serveur capable de faire tourner du CGI étaient ce dont disposait réellement un petit site. Les hébergeurs le livraient d’office, et ce fait change la façon dont il faut lire l’empreinte. Sur une large part des sites où nous le trouvons, personne du côté du site ne l’a choisi. C’est l’hébergeur qui l’a installé, et la détection décrit alors la stack d’hébergement plutôt qu’une décision du propriétaire du site.

La détection porte un second biais qu’il vaut mieux énoncer franchement. Une installation soigneusement configurée écrit ses rapports dans un répertoire protégé par mot de passe ou vers lequel aucun lien ne pointe, et un robot ne peut pas le voir. Ce que nous savons reconnaître, c’est le sous-ensemble des installations dont les pages de rapport sont accessibles publiquement. Notre décompte est donc à la fois une fraction du parc réellement installé et un décompte penché vers sa partie exposée, ce qui est une propriété inhabituelle pour un dataset et une propriété vraiment utile pour un chercheur en sécurité, parce qu’une page de rapport publique laisse fuir des référents, des chemins internes et des origines de visiteurs que le propriétaire du site n’a probablement jamais eu l’intention de publier.

En octobre 2026, nous détectons AWStats sur 3 sites. Les informations de version ajoutent une couche de plus, parce qu’une page de rapport indique en général la version qui l’a produite. Nous relevons 3 versions distinctes en circulation, et 7.9 (build 20230108) est la chaîne que notre robot lit le plus souvent. Un analyseur de journaux est exactement le type de logiciel que l’on installe une fois et qui tourne ensuite sans qu’on y touche pendant des années, si bien que la répartition des versions sert d’approximation grossière de la date à laquelle chaque hébergeur a rafraîchi pour la dernière fois les logiciels de son panneau.

Lire AWStats comme un concurrent des produits d’analyse hébergés passe à côté de ce qu’il indique. La licence GPL v3 signifie qu’il n’y a ni fournisseur, ni contrat, ni liste de clients à laquelle se comparer, et la population que nous voyons est définie par les choix par défaut des hébergeurs, par l’exposition et par l’abandon plutôt que par des décisions d’achat. Une liste téléchargeable est ce qui rend cette population analysable tout court. Les requêtes domaine par domaine confirment qu’un site donné possède une page de statistiques publique. L’export complet montre quels hébergeurs livrent encore l’outil, dans quels pays et sous quelles extensions de premier niveau les installations exposées se regroupent, et comment le décompte bouge d’un fichier au suivant.