Télécharger les sites web qui utilisent OpenSSL

À propos de OpenSSL

Presque tout le reste de ce dataset est détecté parce qu’un site a choisi de le publier. OpenSSL fait exception, parce qu’il n’apparaît en général que lorsqu’un serveur livre spontanément une information qu’il n’était pas tenu d’envoyer. Un en-tête de réponse qui nomme la bibliothèque cryptographique, et parfois sa version exacte de compilation, relève du détail de configuration et non de la décision de conception, et il survit sur l’internet public surtout par inattention. Toute analyse bâtie sur cette ligne doit partir de ce fait, car la population n’est pas celle des sites qui utilisent la bibliothèque. La population est celle des sites qui la déclarent.

La distinction est de taille. La bibliothèque se trouve sous une très large part de l’infrastructure d’internet, dans les serveurs web, les serveurs de messagerie, les moteurs d’exécution de langages, les répartiteurs de charge, les bases de données et les équipements dédiés, de sorte que le chiffre d’usage réel est hors de portée depuis l’extérieur, et de très loin. En octobre 2026 nous le détectons sur 337 312 sites, et ce nombre doit se lire comme le sous-ensemble qui se déclare. Les serveurs configurés pour supprimer les bannières de version, ou placés derrière un proxy qui réécrit les en-têtes, en sont absents par construction, et ce sont de façon disproportionnée ceux qui sont administrés professionnellement.

Ce sous-ensemble qui se déclare garde de la valeur, et cette valeur tient précisément à ce à quoi la déclaration est corrélée. Un serveur qui annonce encore sa bibliothèque cryptographique a tendance à être un serveur installé une fois puis laissé tel quel. Les indices de version vont dans ce sens. Sur les sites où une version est lisible, nous relevons 203 chaînes distinctes, et celle que nous enregistrons le plus souvent est 1.0.2k, une version issue d’une époque du logiciel qui s’est achevée il y a des années. Une longue traîne de compilations vieillissantes est l’état normal d’une infrastructure que personne ne possède.

Ici les réserves doivent être posées fermement, car c’est l’endroit où un dataset se prête le plus facilement au mésusage. Une chaîne de version n’est pas une évaluation de vulnérabilité. Les distributions d’entreprise rétroportent les correctifs de sécurité en conservant le numéro de version d’origine, de sorte qu’une compilation qui paraît antique peut être entièrement corrigée, et la bannière ne le dira jamais. La chaîne déclarée peut aussi venir d’une valeur par défaut compilée plutôt que de la bibliothèque réellement en cours d’exécution. Quiconque traite ces valeurs comme une liste de cibles fait quelque chose de techniquement faux et d’éthiquement indéfendable. Les usages légitimes sont l’inventaire, la gestion de parc, la recherche et l’évaluation du risque fournisseur, qui dépendent tous de la connaissance de ce que votre propre parc ou vos propres fournisseurs exposent.

Lu de cette façon, le fichier répond à des questions qu’une vérification domaine par domaine ne peut pas traiter. Un chercheur en sécurité qui se demande à quelle vitesse le web retire les anciennes compilations cryptographiques a besoin d’une population et d’observations répétées, pas d’une réponse isolée. Un hébergeur qui audite son propre espace d’adressage a besoin de tous les sites qu’il exploite, pas seulement de ceux qui ont déjà provoqué une plainte. Une équipe achats qui évalue ses fournisseurs a besoin de voir toute la liste vérifiée d’un seul coup. Filtrer par pays, où 78 142 sites se concentrent aux États-Unis, ou par suffixe, où .com est celui que nous enregistrons le plus souvent, ramène chacune de ces questions au parc qui vous concerne vraiment.

Le contexte aide aussi. Maintenue par OpenSSL Project sous licence Apache 2.0 et disponible depuis 1998, la bibliothèque a survécu à la plupart des logiciels bâtis au-dessus d’elle, ce qui fait de son historique de versions l’un des meilleurs indicateurs disponibles du temps pendant lequel un serveur donné a tourné sans qu’on y touche.