Télécharger les sites web qui utilisent Cherokee

À propos de Cherokee

La plupart des serveurs web que l’on trouve dans une exploration témoignent de ce que quelqu’un fait tourner. Cherokee témoigne plutôt de ce que personne n’a touché. Le travail sur le projet s’est arrêté il y a longtemps et le code publié n’a pas bougé depuis, si bien qu’une machine qui répond encore avec ce serveur a survécu à au moins un tour du cycle de remplacement habituel.

Les données de version l’illustrent mieux que n’importe quelle description. Nous relevons 6 versions distinctes sur les sites que nous savons identifier, regroupées autour de 1.2.104. Une dispersion aussi étroite, sur un projet qui ne livre plus de versions, n’est pas de la fragmentation au sens habituel. Rien de nouveau n’arrive, de sorte que la distribution est un instantané de la date de dernière construction de chaque machine, figé sur place.

Pour cette raison, l’entrée fonctionne mieux comme indicateur de l’âge d’une infrastructure que comme indicateur concurrentiel. Personne ne choisit ce serveur aujourd’hui. Le trouver revient à trouver un hôte configuré à l’époque où le projet était d’actualité, maintenu en marche parce qu’il fonctionne, et jamais revisité depuis. Les sites dans cet état ont tendance à partager d’autres propriétés, parmi lesquelles de vieux environnements d’exécution en dessous, des bibliothèques non corrigées à côté et un propriétaire qui ne surveille rien. Les chercheurs en sécurité, les hébergeurs en quête de candidats à la migration et quiconque mesure la longue traîne des infrastructures non entretenues posent tous la même question, celle de savoir où se trouvent les vieilles machines.

Le contexte technique appuie cette lecture. Cherokee a été écrit en C et publié sous licence GPL v2, sa première version datant de 2001, à l’époque où une alternative légère et rapide aux serveurs en place formait une catégorie bien vivante. Le projet livrait aussi un panneau de configuration dans le navigateur, ce qui l’a mis entre les mains de gens qui voulaient un serveur sans avoir à éditer des fichiers à la main. Les déploiements de ce type sont parmi les moins susceptibles d’être audités ensuite, parce que la personne qui en a installé un n’a peut-être jamais ouvert le moindre fichier de configuration.

La licence ouverte complique le tableau d’une manière qu’il vaut la peine de signaler. Parce que le code a été publié sous licence GPL v2, il peut être empaqueté, forké et embarqué par d’autres, si bien qu’une partie de ce que nous détectons peut provenir d’un panneau d’hébergement ou d’une image d’appliance qui livrait le serveur plutôt que d’un administrateur qui l’aurait choisi délibérément. Les installations embarquées ne se comportent pas comme les installations choisies, puisque personne dans la chaîne ne sait peut-être que le composant est là, ce qui en fait, dans cette population, la moitié la plus difficile à atteindre et la plus intéressante à étudier.

Une mise en garde compte ici plus qu’ailleurs. L’identification d’un serveur dépend de ce que le serveur choisit d’annoncer sur lui-même, et tout proxy, répartiteur de charge ou réseau de diffusion de contenu placé devant lui peut réécrire ou supprimer cette annonce. Notre décompte est un plancher, pas une estimation. En octobre 2026 nous détectons Cherokee sur 29 sites, et le nombre réel de machines qui le font encore tourner est supérieur d’une quantité que personne ne peut mesurer de l’extérieur. Nos enregistrements ne portent pas non plus de ventilation par pays ou par suffixe de domaine pour cette entrée, de sorte que la géographie doit se lire sur les domaines eux-mêmes.