Télécharger les sites web qui utilisent CodeIgniter

À propos de CodeIgniter

Les frameworks côté serveur sont ce qu’il y a de plus difficile à voir depuis l’extérieur d’un site web, parce que le code qui produit une page ne laisse en général aucune signature dans la page produite. CodeIgniter illustre le problème à l’état pur. Le framework est écrit en PHP, publié sous licence MIT et sorti pour la première fois en 2006, et il fait tout son travail sur le serveur, si bien que la seule preuve dont dispose un robot d’exploration est ce que l’application a oublié de cacher.

La détection repose ici sur des effets de bord. Les noms de cookies de session, des structures d’URL caractéristiques, la sortie d’erreur par défaut, l’ordre des en-têtes de réponse et, de temps à autre, une ressource par défaut restée intacte sont le genre d’indices qui trahissent le framework. Une équipe qui renomme son cookie de session, qui définit proprement ses routes et qui renvoie des pages d’erreur personnalisées disparaît complètement des données tout en continuant de faire tourner le framework. Le décompte qui suit doit se lire comme un plancher, et un plancher souple. Quiconque utilise cette liste doit savoir que l’absence ne prouve rien.

En octobre 2026 nous identifions le framework sur 56 504 sites, dont 17 130 que nous localisons aux États-Unis, et .com revient souvent parmi les extensions de domaine. L’information de version est grossière pour la même raison structurelle, parce qu’un framework côté serveur n’annonce pas son numéro de version aux visiteurs, et ce que nous pouvons lire se réduit à une ligne de version large, du type 2+, plutôt qu’à un numéro de build précis. Traitez ici le champ de version comme une indication de génération, et non comme un niveau de correctif sur lequel vous pourriez agir directement.

Ce qui survit à toutes ces précautions garde de la valeur, parce que le framework lui-même a un profil distinctif. Compact, rapide et sans cérémonie, il a été largement adopté par des ateliers indépendants, des équipes en interne et des agences de développement régionales qui construisaient des applications métier, des portails et du commerce sur mesure avec un budget modeste. Les projets de cette forme vivent longtemps, sont rarement réécrits et restent le plus souvent maintenus par ceux qui les ont construits, ce qui rend la population détectée exceptionnellement riche en logiciels de gestion exploités par leur propriétaire plutôt qu’en sites vitrines.

Chaque acheteur se sert de ce profil à sa manière. Les cabinets de recrutement et les sociétés de sous-traitance s’en servent pour trouver les entreprises et les agences qui font encore tourner cette partie de l’écosystème. Les chercheurs en sécurité s’en servent parce qu’un framework applicatif d’une génération précédente, exécuté sur un hôte public, forme un ensemble qui mérite d’être étudié à grande échelle. Les fournisseurs de migration et de modernisation s’en servent pour trouver les applications construites il y a des années sur une stack dont le développeur d’origine est souvent parti ailleurs.

La seule chose à éviter est de traiter une ligne isolée comme faisant autorité. Une requête sur un seul domaine, face à une détection aussi indirecte, est l’usage le plus faible qu’on puisse faire de ces données, puisqu’une absence de résultat peut vouloir dire que le framework n’est pas là, ou simplement que le développeur a configuré les choses proprement. C’est à l’échelle agrégée que le signal se stabilise. Sur une grande population, les indices qui filtrent apparaissent assez souvent pour rendre la forme du groupe significative, même si les lignes prises une à une restent incertaines, et le fichier téléchargeable est ce qui vous permet de travailler à ce niveau, en reliant l’indicateur de framework au pays, à l’extension de domaine, au logiciel serveur et au reste de chaque stack.