Télécharger les sites web qui utilisent lighttpd

À propos de lighttpd

Un serveur web dont 70 versions distinctes répondent encore aux requêtes vous dit quelque chose de ses utilisateurs avant même que vous ne regardiez autre chose. Le serveur lighttpd est petit, rapide et ancien, publié en 2003 et écrit en C, et si autant de compilations survivent sur le terrain, c’est qu’une large part d’entre elles ne sont pas des sites web tout court.

Lighttpd a fini à l’intérieur des objets. Les routeurs, les caméras, les boîtiers de stockage, les imprimantes, les automates industriels et les décodeurs le livrent comme serveur derrière un panneau d’administration, parce qu’il tient dans très peu de mémoire et ne demande presque aucune configuration pour servir quelques pages. Un micrologiciel s’écrit une fois et se met à jour rarement, si bien que la version que nous relevons le plus souvent, 1.4.45, persiste non pas parce qu’un administrateur l’a choisie, mais parce qu’elle a été compilée dans un appareil il y a longtemps et que l’appareil est toujours branché.

La conséquence pratique, c’est que cette population se scinde en deux et que la coupure n’est pas étiquetée. Une part relève d’un hébergement délibéré, avec des serveurs de fichiers statiques, de la diffusion de médias et de ressources, de petites machines virtuelles où quelqu’un voulait plus léger qu’Apache. L’autre part, ce sont des interfaces d’administration d’appareils qui n’ont jamais été destinées à être exposées à l’internet public. Les deux répondent avec la même bannière. Les distinguer demande les indices alentour, et c’est ce que fournit le reste du dataset, à savoir ce que dit le titre de la page, si l’adresse se résout dans un réseau résidentiel ou d’opérateur, et si autre chose dans la stack ressemble à un système de gestion de contenu.

C’est en Russie que la concentration est la plus forte, avec 42 782 des 57 320 sites que nous détectons en octobre 2026, et .ru domine la répartition par domaine. Des concentrations de cette ampleur dans une population de serveurs reflètent en général l’image par défaut d’un hébergeur, ou un opérateur national qui expédie le même équipement client à chaque abonné. L’une comme l’autre explication mène à la même conclusion, à savoir que la colonne pays décrit ici l’endroit où les machines se trouvent physiquement, pas l’endroit où quelqu’un a pris une décision d’infrastructure web.

Le serveur est maintenu par la communauté sous licence BSD, sans société derrière lui, ce qui retire l’angle commercial qu’aurait un produit propriétaire et le remplace par un angle de sécurité. Un serveur non corrigé, répandu et sans surveillance est une cible de recherche et une exposition à chiffrer, et l’étalement des versions dans les données de la catégorie Web servers est ce qui rend ce travail praticable, parce que réduire la population aux compilations concernées par un avis de sécurité précis devient une requête plutôt qu’un projet.

La détection repose sur la bannière du serveur. Tout ce qui se trouve derrière un CDN ou un reverse proxy annonce le frontal à la place, et les administrateurs qui suppriment la bannière sortent purement et simplement du décompte, de sorte que le chiffre est un plancher. Une requête sur un seul domaine confirme un hôte et rien de plus. La liste téléchargeable est ce qui vous permet de chiffrer un parc touché, de regarder une cohorte de versions se réduire après la sortie d’un correctif, et de trouver les réseaux où les vieux micrologiciels se concentrent.