Télécharger les sites web qui utilisent Jenkins

À propos de Jenkins

Jenkins est un serveur d’automatisation plutôt qu’une technologie de site web, et s’il apparaît dans un profil de technologies web, c’est uniquement parce que son contrôleur embarque une interface web. Un système de compilation a sa place sur un réseau interne, derrière un VPN ou le pare-feu d’un bureau. Quand un robot d’exploration parvient à en relever l’empreinte depuis l’internet public, c’est que quelqu’un a publié le contrôleur, volontairement ou par accident, et la ligne correspondante dans nos données est un fait sur l’exposition autant que sur l’outillage.

Le logiciel est publié sous licence MIT, écrit en Java, et développé sous son nom actuel depuis 2011. L’auto-hébergement est la norme, si bien que chaque installation est une machine qu’une équipe doit maintenir et corriger elle-même. L’écosystème d’extensions explique que les installations restent en place pendant des années, et explique aussi pourquoi la surface d’attaque est difficile à évaluer, puisque l’empreinte identifie le cœur et ne dit rien des extensions chargées à côté.

Les données de version rendent le tableau concret. Nous enregistrons 43 versions distinctes sur les contrôleurs visibles, et la livraison que nous voyons le plus souvent est 2.528.2. Un éventail aussi large signifie que la population ne se met pas à jour au même rythme, ce qui n’a rien de surprenant pour un logiciel qui publie une ligne au rythme rapide à côté d’une ligne de maintenance à long terme. Un contrôleur exposé qui fait tourner une version ancienne est une cible documentée et non un risque théorique, si bien que pour la recherche sur les surfaces d’attaque, la colonne des versions est la colonne qui compte.

La présence dit aussi quelque chose de l’usage fait d’un domaine. Un nom d’hôte qui répond avec un contrôleur de compilation n’est généralement pas un site vitrine mais une infrastructure qui se trouve résoudre publiquement, un sous-domaine d’intégration continue, un portail pour développeurs, un hôte oublié après une migration. Regrouper ces noms d’hôtes par organisation mère cartographie un parc d’ingénierie plutôt qu’un parc web public, ce qui donne d’une entreprise une image différente de celle que livre la stack de sa page d’accueil.

Des acheteurs différents lisent les mêmes lignes différemment. Les équipes de sécurité et les chercheurs en vulnérabilités veulent les instances exposées, puisqu’un contrôleur de compilation joignable est un chemin vers le code source, des identifiants de déploiement et des clés de signature. Les fournisseurs d’intégration continue hébergée et d’outillage pour la chaîne d’approvisionnement logicielle lisent la liste comme une demande, parce qu’une organisation qui fait tourner son propre contrôleur a déjà accepté le coût de cette catégorie et se vend plus vite qu’une organisation qui n’a rien automatisé. Les cabinets de conseil s’en servent pour dimensionner leurs offres, en supposant raisonnablement qu’une équipe d’ingénierie d’une certaine consistance se trouve derrière chaque installation.

En octobre 2026 nous relevons l’empreinte du logiciel sur 103 sites, et ce nombre mérite une mise en garde plutôt qu’un titre. Presque toutes les installations réelles du monde sont invisibles pour une exploration publique, posées sur une adresse privée ou derrière un mandataire d’authentification qui ne renvoie rien d’identifiable. Ce que contient la liste, c’est l’exposé et le semi-exposé, des contrôleurs sur des noms d’hôtes publics, des instances laissées sur des domaines de préproduction, et des pages de connexion qui annoncent le produit et sa version avant d’authentifier qui que ce soit. Comme recensement des usages, le décompte est faux de plusieurs ordres de grandeur. Comme recensement de ce qui est joignable depuis l’extérieur, qui est la question qui mérite d’être posée, la liste est exactement ce qu’il faut.