Télécharger les sites web qui utilisent Java Servlet

À propos de Java Servlet

Un site ne se retrouve pas à faire tourner Java Servlet par accident. Le choix se fait une fois, en général par une équipe d’ingénierie qui met en place un serveur d’applications comme Tomcat, JBoss ou WebSphere, et il tient ensuite aussi longtemps que l’application. Personne ne remplace une couche servlet comme on remplace une extension. La technologie est donc le marqueur d’un type d’organisation particulier, celui qui a des développeurs Java en interne, un processus de livraison et une application antérieure à la mode actuelle en matière de stack web.

Java Servlet est arrivé en 1997, quand la programmation web côté serveur voulait encore dire pour l’essentiel des scripts CGI, et il est devenu la couche sur laquelle les frameworks web Java ultérieurs ont été construits. La tutelle est depuis passée à Eclipse Foundation, qui le publie sous licence Apache 2.0 au sein de la famille Jakarta. Le changement de nom compte pour qui assemble une liste, car les déploiements sur le terrain s’identifient encore sous l’ancienne comme sous la nouvelle appellation, et un détecteur qui n’en connaît qu’une seule manquera en silence une partie du parc.

La détection reste inférentielle dans les deux cas. Une couche servlet s’annonce rarement dans le corps d’une page. Ce que nous lisons, ce sont des signatures de conteneur, des noms de cookies de session, des empreintes de pages d’erreur et les motifs d’URL qu’un conteneur de servlets laisse derrière lui. Un site placé derrière un proxy inverse ou un CDN qui supprime ces signaux ne sera pas compté du tout, si bien que le chiffre est un plancher et non un recensement. En octobre 2026 nous enregistrons Java Servlet sur 15 055 sites.

Les données de version sont plus maigres et plus révélatrices. Nous ne pouvons attribuer une version précise qu’à une partie de cette population, répartie sur 8 versions distinctes, et celle que nous attribuons le plus souvent est 2.5. Une stack qui annonce encore une version de servlet ancienne vous dit quelque chose de son rythme de mise à niveau, et par extension de son appétit pour un projet de migration et de son exposition à tout ce qui a été corrigé dans les versions qu’elle a sautées.

Deux publics achètent cette coupe des données. Les fournisseurs qui vendent des serveurs d’applications, des agents de supervision, des runtimes Java ou des services de modernisation ont besoin de savoir quelles entreprises possèdent encore un parc de servlets, tout simplement, parce que cette population ne croît pas et n’est pas visible de l’extérieur. Les chercheurs en sécurité veulent l’inverse, un inventaire permanent des hôtes qui font tourner une couche de conteneur dont les faiblesses valent pour tout le conteneur plutôt que pour un site donné. Une requête domaine par domaine ne sert ni les uns ni les autres. Vérifier un site vous dit ce que ce site fait tourner. Seul un export complet permet de filtrer la population de servlets par pays, par domaine de premier niveau et par technologie associée, puis de remettre le résultat à quelqu’un qui doit agir dessus.