Télécharger les sites web qui utilisent mod_jk

À propos de mod_jk

mod_jk existe pour faire respecter une division du travail qui précède l’essentiel du web moderne. Apache HTTP Server prend la connexion, assure la terminaison TLS et sert les fichiers statiques, puis transmet les requêtes applicatives à Tomcat via le protocole Apache JServ. Ce montage a longtemps été la pratique courante dans les équipes Java, et le connecteur est le liant qui fait fonctionner l’ensemble.

En octobre 2026 nous voyons le module sur 8 709 sites, et la géographie est la première surprise. 2 834 d’entre eux se trouvent en Allemagne, avec .de comme suffixe dominant, ce qui n’est pas la répartition que produit une technologie web générique. Le Java d’entreprise a duré le plus longtemps sur les marchés dotés de grandes directions informatiques internes, de longs cycles d’achat et d’un goût pour les serveurs que l’on exploite soi-même, et l’empreinte de la catégorie Web server extensions reflète ici cette histoire plutôt qu’une tendance d’adoption actuelle.

Le connecteur est publié par Apache Software Foundation sous licence Apache 2.0, écrit en C, et existe depuis 1999. L’âge compte dans ce cas parce que l’architecture qu’il dessert est passée de mode pendant que le connecteur, lui, continuait de recevoir des versions. Les sites qui le font encore tourner reposent sur une tuyauterie maintenue mais démodée, ce qui est un état précis et exploitable : rien n’est cassé, rien ne bougera tout seul, et cela finira par devenir le projet de migration de quelqu’un.

Les données de version vont dans le même sens. 35 versions distinctes apparaissent dans le dataset et 1.2.40 est celle que nous voyons le plus souvent, un étalement caractéristique d’un logiciel qui arrive dans un paquet de système d’exploitation ou dans une appliance de fournisseur plutôt que d’être récupéré frais par un développeur. Les mises à jour ont lieu quand la plateforme sous-jacente est reconstruite, et pour ce genre de stack les reconstructions peuvent être séparées par des années.

Ce que le module laisse supposer d’un site est d’une rare précision. Derrière lui se trouvent un serveur d’applications Java, une application que quelqu’un a écrite ou achetée plutôt qu’installée depuis un annuaire d’extensions, et une équipe d’exploitation qui gère son propre frontal au lieu de tout confier à une plateforme managée. Les fournisseurs de supervision applicative, les cabinets de migration Java, les fournisseurs de conteneurs et de plateformes ainsi que les équipes de sécurité qui font de l’inventaire externe s’intéressent tous à cette population, et le protocole lui-même a un passé de vulnérabilités graves quand les ports du connecteur restent joignables, ce qui donne aux défenseurs une raison de savoir où il tourne.

La détection procède par inférence et sous-estime presque certainement le parc. Le connecteur ne s’annonce que si le serveur frontal est configuré pour révéler sa liste de modules, et les compilations durcies retirent cette information, tout comme les proxys inverses et les CDN qui se placent devant beaucoup de sites d’entreprise. L’absence de la liste ne prouve pas que le connecteur manque, seulement que le site ne nous l’a pas dit. Lire le décompte comme un plancher est l’interprétation honnête, et le biais penche vers les déploiements plus anciens et moins réglés, ceux qui exposent encore leurs entrailles.

Une requête domaine par domaine indique si un hôte expose le module. Le téléchargement dit si le schéma Apache vers Tomcat conserve une population assez large pour y bâtir une activité, où cette population se concentre, et à quelle vitesse elle se vide d’une version à l’autre. Ce sont les questions dont dépendent réellement une offre de migration ou un programme de recherche en sécurité, et on ne les assemble pas hôte par hôte.