Télécharger les sites web qui utilisent mod_wsgi

À propos de mod_wsgi

Les modules serveur sont la partie d’une stack que personne ne choisit deux fois. Un schéma de déploiement est retenu quand une application entre en production pour la première fois, puis il survit, quasiment intact, à des années de travail fonctionnel, parce que changer le modèle de processus est un projet à risque réel et à récompense invisible.

mod_wsgi est cette décision conservée. Publié en 2007 et écrit en C, le module embarque un interpréteur Python à l’intérieur d’Apache ou fait tourner l’application dans des processus démons qu’Apache supervise, ce qui a longtemps été la façon standard d’héberger une application web en Python. La licence Apache 2.0 et l’absence d’entreprise derrière le projet ont fait qu’il s’est répandu par la documentation et les tutoriels plutôt que par la vente. Les déploiements plus récents ont plutôt tendance à placer un serveur d’applications dédié derrière un proxy inverse, si bien que trouver le module aujourd’hui indique assez bien que la machine est antérieure à ce basculement ou a été montée par quelqu’un qui a appris pendant cette période.

C’est dans les données de version que la population devient précise. Nous voyons 59 versions distinctes en circulation, 5.0.0 revenant plus souvent que toute autre compilation. Un étalement de cette ampleur sur un seul module Apache n’est pas un renouvellement ordinaire. Un étalement de cette ampleur signifie des installations figées par un paquet de système d’exploitation, gelées dans une image de conteneur construite il y a des années et jamais reconstruite, ou maintenues en place par un fichier de dépendances auquel personne n’ose toucher. Pour qui suit l’exposition, la distribution des versions est le constat lui-même plutôt qu’un détail rattaché à un constat.

La détection procède par inférence et nous préférons le dire. Le module s’annonce dans un en-tête de serveur quand l’administrateur laisse la configuration par défaut tranquille, et beaucoup d’administrateurs ne la laissent pas tranquille. Les machines durcies suppriment ou réécrivent cet en-tête, un proxy inverse ou un CDN devant l’origine le remplace le plus souvent purement et simplement, et dans les deux cas une installation parfaitement saine devient invisible de l’extérieur. En octobre 2026 nous détectons mod_wsgi sur 7 386 sites, et chacun d’eux est une machine qui fait tourner le module et qui l’annonce. La base installée réelle est plus grande d’un facteur inconnu, et toute analyse qui traite le décompte comme complet sous-estimera le Python hébergé sous Apache.

La géographie suit la même logique que l’étalement des versions.

La question à laquelle répond un export est une question de population. Quelles machines font encore tourner ce schéma, chez quels hébergeurs, dans quelles versions, à côté de quels frameworks et de quelles compilations Apache. Les chercheurs en sécurité s’en servent pour délimiter l’exposition, les cabinets de migration pour trouver des parcs qui méritent d’être modernisés, et les mainteneurs de frameworks pour décider de ce qui doit continuer de fonctionner. Interroger un seul domaine vous dit ce que fait tourner un seul domaine. Interroger la liste vous dit si un abandon de fonctionnalité est une note de bas de page ou une rupture pour une base installée substantielle.