Télécharger les sites web qui utilisent MantisBT

À propos de MantisBT

Un gestionnaire de tickets joignable depuis l’internet ouvert s’y trouve souvent par accident. Le suivi des bugs est un logiciel interne. Un gestionnaire a sa place sur un réseau privé, à côté du dépôt de code, et quand un robot d’exploration en trouve un, il a le plus souvent trouvé le processus de travail d’une entreprise plutôt que sa communication.

MantisBT est ce genre de logiciel depuis 2000, écrit en PHP et publié sous licence GPL v2, ce qui explique à la fois sa longévité et les endroits où il affleure. Un gestionnaire qui s’installe sur n’importe quel hébergement mutualisé bon marché doté d’une base de données, et qui ne demande aucune négociation de licence, se répand là où un produit commercial facturé par utilisateur n’arrive jamais : départements universitaires, services informatiques municipaux, petits éditeurs de logiciels, projets internes de longue durée dans des entreprises qui l’ont adopté une fois et ne sont jamais revenues sur la décision. La licence gratuite explique aussi qu’il n’y ait aucun fournisseur à qui demander un nombre de clients, et que la détection indépendante soit le seul moyen de voir quoi que ce soit du parc installé.

En octobre 2026 nous détectons MantisBT sur 4 sites, et si ce nombre est faible, la raison en est structurelle et ne constitue pas un verdict sur le projet. Les instances qu’un robot peut voir sont les mal configurées, celles que des projets libres rendent publiques à dessein, et celles garées sur un sous-domaine que quelqu’un a oublié. Tout ce qui se trouve derrière un pare-feu, un VPN ou un mur d’authentification est invisible par conception. Le parc installé réel est inconnaissable de l’extérieur, et qui citerait notre décompte comme une mesure d’adoption citerait en fait le taux d’exposition.

Le taux d’exposition se trouve être la mesure intéressante pour plusieurs lecteurs. Les chercheurs en sécurité s’y intéressent parce qu’un gestionnaire public est une application vieillissante avec un formulaire de connexion, un chemin de téléversement et un historique d’avis de sécurité documenté, et parce que les tickets qu’il contient décrivent souvent l’infrastructure en détail. Celui qui porte le risque fournisseur dans une grande organisation veut savoir si le gestionnaire d’un partenaire répond sur l’internet ouvert. Qui vend de l’outillage de développement trouve dans cette liste un ensemble d’équipes qui font tourner un gestionnaire auto-hébergé entretenu depuis des années, ce qui est une qualification précise et rare.

Une vérification domaine par domaine confirme un hôte unique. Le téléchargement remet l’ensemble visible en entier, avec l’environnement d’exploitation qui entoure chaque instance, et c’est ce qui transforme une curiosité en enquête.