Télécharger les sites web qui utilisent mod_ssl

À propos de mod_ssl

mod_ssl n’est pas quelque chose qu’un site choisit. Le module fait partie de la manière dont Apache HTTP Server parle le TLS, intégré à la compilation ou chargé par celui qui a configuré la machine, et le propriétaire du site, au-dessus, ignore le plus souvent que ce nom existe. D’où un signal d’une autre nature qu’une extension ou une plateforme, et à certains égards plus honnête, puisque personne ne l’a adopté pour des raisons de marketing.

Maintenu par Apache Software Foundation et publié sous licence Apache 2.0, le module remonte à 1998, quand la cryptographie forte pour le web était encore une pièce rapportée plutôt qu’un réglage par défaut. Écrit en C au-dessus d’OpenSSL, mod_ssl donne à Apache sa gestion des certificats, sa configuration des chiffrements et sa négociation de protocole. Il est rangé chez nous dans la catégorie Web server extensions, même si son rôle réel est infrastructurel.

En octobre 2026 nous détectons 20 342 sites qui le signalent, et c’est le tableau des versions qui mérite l’étude. Nous relevons 2.2.34 comme chaîne de version principale et comptons 76 valeurs distinctes dans la population. Une version issue d’une branche abandonnée depuis longtemps en amont, encore portée par une part substantielle de la base, change la lecture de tout le reste. Des compilations serveur de longue durée ne signifient pas automatiquement une cryptographie faible, parce que les éditeurs de distribution rétroportent les correctifs de sécurité sans faire bouger le numéro de version, et une machine qui affiche une vieille chaîne peut très bien être parfaitement à jour en dessous. Mais un étalement sur autant de chaînes distinctes vous dit que la population n’est pas administrée de façon centralisée, et que l’état des correctifs doit être déduit plutôt que supposé.

La répartition par pays est la deuxième chose qui ressort. 3 576 des sites détectés se trouvent au Japon, une répartition qui s’écarte du motif que suit la plupart des données technologiques de ce catalogue. Un grand secteur national de l’hébergement qui exploite son propre matériel, de longues durées de service et des cycles de mise à jour conservateurs poussent tous dans le même sens, et le résultat est un parc de serveurs national qui reste visible des années après que d’autres marchés sont passés derrière des plateformes managées.

Tout ce qui précède repose sur un choix de configuration, et c’est la réserve qui compte le plus. Apache ne nomme ses modules dans l’en-tête de réponse que si l’administrateur laisse le réglage des jetons serveur en mode bavard, et bien des exploitants le ramènent au seul nom du produit ou suppriment l’en-tête entièrement au niveau d’un proxy. Chaque serveur durci, chaque site derrière un CDN qui réécrit ses en-têtes et chaque distribution qui livre un réglage par défaut discret reste invisible pour un balayage de ce type. La population que nous rapportons n’est donc pas la population des déploiements TLS sous Apache, c’est le sous-ensemble qui s’annonce encore, et il penche vers des installations plus anciennes, moins souvent placées derrière un proxy et moins durcies que l’ensemble. Dit simplement, nous sous-estimons, et la sous-estimation n’est pas aléatoire.

Voilà exactement pourquoi le fichier compte davantage qu’une requête. Savoir qu’un serveur annonce une version de module donnée répond à une question d’assistance. Disposer de la population détectée complète dans un extrait téléchargeable, joint au pays, au suffixe de domaine et au reste de la stack, répond plutôt à des questions de recherche. Comment les parcs de serveurs vieillissent, où les branches abandonnées persistent, quels marchés de l’hébergement gardent en service une infrastructure de longue durée, et à quels segments vendre un produit de gestion de correctifs, de balayage ou de migration. Des questions de cette forme réclament la liste entière d’un coup, et elles la réclament sous forme de fichier que vous pouvez filtrer vous-même.