Télécharger les sites web qui utilisent Clockwork

À propos de Clockwork

Personne n’installe une barre d’outils de débogage pour que des inconnus la lisent. Écrit en PHP et publié sous licence MIT depuis 2013, Clockwork réside à l’intérieur d’une application en cours d’exécution et enregistre les temps d’exécution, les requêtes en base, la sortie des journaux et le contenu des requêtes, puis remet le tout à une extension de navigateur ou à une visionneuse autonome. Sur le portable d’un développeur, c’est précisément le but recherché. Sur un hébergement public, cela devient une description des entrailles de l’application, accessible à quiconque a l’idée de la demander.

Une détection porte donc deux lectures à la fois. L’une est technique : le site fait tourner une application PHP, presque certainement bâtie sur l’un des frameworks auxquels la barre d’outils se raccroche, ce qui resserre la stack bien plus qu’une bannière de serveur. L’autre est procédurale : une configuration prévue pour le travail local a atteint la production avec son instrumentation restée active, ou bien un hôte de préproduction a été publié sur l’internet ouvert sans que personne le remarque. Ni l’une ni l’autre ne flatte l’exploitant, et les deux sont utiles si votre travail consiste à trouver les endroits où la configuration a dérivé.

Comme la barre d’outils est livrée sous forme de bibliothèque et non de balise hébergée, sa version fait partie de l’empreinte. Nous séparons actuellement 29 chaînes de version distinctes parmi les installations qui répondent, avec 5.3.3 comme relevé le plus courant. Un étalement de cette largeur sur une dépendance de développement signifie d’ordinaire que le paquet a été figé une fois au début du projet puis laissé tel quel, ce qui en dit autant sur les habitudes de maintenance que sur le paquet lui-même.

La détection est ici inférentielle, et elle sous-compte. La barre d’outils peut être installée avec son interface désactivée, restreinte par adresse, dirigée vers un port que personne ne balaie, ou activée seulement quand un indicateur de débogage est positionné, et dans chacun de ces cas l’application est instrumentée alors que rien ne nous parvient. Compter Clockwork revient à compter les installations qui répondent, pas les installations qui existent. En octobre 2026 nous le relevons sur 284 sites, et le chiffre mérite d’être lu comme un plancher plutôt que comme un recensement.

La liste téléchargeable répond à une question que la vérification domaine par domaine ne peut pas traiter. Une requête unique vous dit si un hôte donné est exposé. La population complète vous dit à quel point l’exposition est répandue, chez quels hébergeurs et dans quelles communautés de frameworks elle se concentre, et si le décompte bouge à mesure que les mainteneurs resserrent leurs réglages par défaut. Les chercheurs en sécurité se servent d’une liste comme celle-ci pour dimensionner une classe de mauvaise configuration avant de décider si elle mérite un signalement. Les fournisseurs qui vendent du profilage, du suivi d’erreurs ou de la supervision applicative au monde PHP lisent les mêmes lignes comme une carte des équipes qui instrumentent déjà leur code et qui se sont d’abord tournées vers une option gratuite.