Télécharger les sites web qui utilisent Kohana

À propos de Kohana

Kohana est un framework PHP dont les origines remontent à 2007, et presque tout ce qui est intéressant dans les sites qui le font encore tourner découle de cette date. Le développement public s’est arrêté il y a des années, si bien qu’une empreinte Kohana aujourd’hui marque rarement une décision technologique récente. Ce qu’elle marque, c’est une base de code écrite une fois, mise en production, et jamais migrée.

Les données de version vont dans le sens de cette lecture. Sur l’ensemble de la population détectée, nous relevons 3 versions distinctes, groupées autour de 3.3.6, une distribution remarquablement étroite pour un framework de cet âge. Les projets vivants s’étalent sur les versions parce que les équipes montent de version à des rythmes différents et pour des raisons différentes. Une population figée converge au contraire, puisque rien ne bouge du tout, et ce que nous observons ici est bien plus proche du second schéma que du premier. En octobre 2026 nous détectons Kohana sur 134 sites.

Un framework PHP non maintenu a une signification précise pour qui fait de la sécurité ou de l’audit préalable. Les failles nouvellement découvertes dans le framework lui-même ne seront pas corrigées en amont, et tout correctif doit être écrit par celui qui possède l’application, à supposer que quelqu’un la possède encore. Les hébergeurs héritent de cette exposition de clients qui ont oublié que le site existe. Les repreneurs en héritent de cibles dont personne n’a documenté l’histoire technique. Dans les deux cas, l’artefact utile n’est pas une réponse par oui ou non sur un domaine, car l’exposition est une question de portefeuille et appelle une réponse à l’échelle d’un portefeuille.

La lecture commerciale est l’image inversée de la lecture sécurité. Un site sur un framework abandonné est un candidat à la migration, et la migration coûte assez cher pour que des agences et des fournisseurs de plateformes paient une liste qualifiée de ces sites. Puisque le framework a été distribué sous la licence BSD, personne n’a jamais eu à s’enregistrer pour l’utiliser, si bien qu’il n’existe aucune liste de clients d’un fournisseur à acquérir ni aucun registre de téléchargements à consulter. Une exploration des sites actifs est purement et simplement la seule façon de voir la population, et c’est la seule façon de la regarder se réduire à mesure que des sites sont refaits ou retirés.

La détection a de vraies limites qu’il vaut la peine de nommer. Nous reconnaissons Kohana à des cookies propres au framework, à des signatures de pages d’erreur, au comportement des en-têtes et à des chemins publics qui survivent jusqu’aux déploiements de production. Une application qui a renommé son cookie de session, supprimé sa sortie d’erreur et qui se place derrière un cache peut faire tourner ce framework de façon invisible, ce qui est courant précisément dans les installations plus anciennes et soigneusement protégées par un pare-feu, celles-là mêmes où il a tendance à se trouver. Notre décompte doit se lire comme la part de la population encore visible de l’extérieur et non comme sa totalité, et pour un framework dans cet état le reste invisible est probablement important.