Télécharger les sites web qui utilisent mod_rails

À propos de mod_rails

Personne, en visitant un site, n’a d’opinion sur le serveur d’applications qui se trouve derrière, et c’est précisément pour cela que cette couche mérite d’être mesurée. mod_rails, connu sous le nom de Phusion Passenger, relève de la catégorie Web server extensions et vient de Phusion, publié sous la licence MIT et en production depuis 2008. Le module existe pour rendre les applications Ruby déployables en les intégrant à Apache ou à Nginx, au lieu de les laisser derrière un gestionnaire de processus bricolé à la main.

Écrit en C++ et placé entre le serveur web et l’application, il prend en charge la supervision des processus, les redémarrages et le routage des requêtes qu’une équipe Rails devrait sinon assembler seule. Un site qui annonce le module vous dit trois choses à la fois : l’application est en Ruby, elle tourne sur une infrastructure que l’exploitant maîtrise plutôt que sur une plateforme en tant que service, et quelqu’un a pris une décision d’exploitation délibérée au moment du déploiement. Détecter le framework seul ne porte ni la deuxième ni la troisième.

Ceux que cette combinaison intéresse forment une liste courte et commercialement utile. Les fournisseurs de supervision applicative, les services de suivi d’erreurs, les cabinets de conseil Ruby, les hébergeurs managés en quête de candidats à la migration et les équipes de sécurité qui cataloguent l’infrastructure exposée veulent tous le même objet, à savoir une population de déploiements Ruby auto-hébergés plutôt qu’un annuaire d’entreprises qui citent Ruby dans leurs offres d’emploi. En octobre 2026 nous voyons mod_rails sur 7 755 sites, et le fichier autorise des recoupements qu’une vérification domaine par domaine ne permet pas : lesquels se placent derrière un réseau de diffusion de contenu, lesquels associent le module à Apache et lesquels à Nginx, quels pays et quels hébergeurs le concentrent, et quels sites portent encore une empreinte de framework qui n’a pas bougé depuis des années.

La sous-estimation est ici importante et prévisible, et prétendre le contraire serait malhonnête. Les modules côté serveur s’identifient le plus souvent à partir des en-têtes de bannière, et supprimer ou réécrire ces en-têtes est une étape de durcissement par défaut dans la plupart des guides de déploiement, si bien que chaque installation soigneusement administrée qui cache sa stack manque au décompte. Les proxys inverses et les caches de périphérie ajoutent une seconde couche de dissimulation, parce que ce que le robot rencontre est le proxy et non l’origine. Le résultat est une liste fiable sur ce qu’elle contient et muette sur ce qu’elle omet, ce qui convient bien à la prospection et seulement avec prudence au dimensionnement d’un marché.

Une dernière distinction mérite d’être gardée en tête à la lecture des chiffres. Le fournisseur livre une édition communautaire et une édition entreprise commerciale qui se présentent de façon identique vues de l’extérieur, et la liste ne peut donc pas séparer seule les clients payants des usagers gratuits. Qui s’en sert comme entrée commerciale devrait prévoir de qualifier ce partage avec d’autres éléments, comme la taille de l’entreprise ou l’empreinte d’hébergement, qui voyagent toutes deux avec le domaine dans les mêmes enregistrements.