Télécharger les sites web qui utilisent PHPDebugBar

À propos de PHPDebugBar

PHPDebugBar est un outil de développement, si bien que le trouver sur un site web public constitue en soi une découverte. La barre d’outils s’affiche à l’intérieur de la page et expose ce qu’un développeur veut voir pendant un débogage, notamment les requêtes de base de données exécutées, les paramètres de requête, le contenu de session, les exceptions, les profils de temps d’exécution et les messages de journal personnalisés.

Écrite en PHP et publiée sous licence MIT en 2013, la barre d’outils se greffe sur les frameworks courants de cet écosystème comme sur des applications autonomes. Sur une machine de développement, elle est banale et extrêmement utile. Sur un domaine de production, elle signifie que l’application sert une sortie de débogage au public, et le même panneau qui aide un ingénieur décrit aussi la structure de la base de données, le framework utilisé et la forme des requêtes internes à quiconque ouvre la page.

Le public d’une liste de ce genre est inhabituel, parce que ce qui est intéressant est l’erreur et non le produit. Les chercheurs en sécurité s’en servent pour mesurer à quel point une mauvaise configuration est réellement répandue au lieu d’argumenter à partir d’anecdotes. Les fournisseurs d’outils de surface d’attaque et de gestion de parc s’en servent pour démontrer une exposition à grande échelle à un client qui ne croit pas que le problème existe chez lui. Les hébergeurs s’en servent pour trouver les comptes qui sont à un affichage de page de laisser fuiter du texte de requête. Les mainteneurs de frameworks et d’outils lisent le même ensemble pour une raison tout autre, comme un recensement approximatif des endroits où leur stack est déployée.

Il existe une seconde lecture des mêmes données qui n’a rien à voir avec la sécurité. Une barre d’outils de débogage est installée par une équipe de développement en activité, pas par un créateur de sites ni par un assistant d’hébergement, si bien que son empreinte trace les endroits où du travail applicatif sur mesure se fait réellement, dans un langage dont la présence publique est par ailleurs dominée par les systèmes de gestion de contenu. Pour quiconque vend à des ateliers de développement plutôt qu’à des propriétaires de sites, la distinction entre une application construite à la main et une plateforme sur étagère constitue toute la segmentation, et peu de signaux tracent la ligne aussi nettement.

L’honnêteté compte ici plus que le total. La détection voit les ressources et les marqueurs que la barre d’outils laisse dans une page livrée, ce qui constitue un indice fort mais non la confirmation que le panneau s’affiche pour chaque visiteur, puisque certaines installations se trouvent derrière une liste d’adresses autorisées ou une session authentifiée. Des ressources intégrées à un bundle peuvent aussi survivre dans une build longtemps après que le collecteur lui-même a été désactivé. En octobre 2026 nous relevons 1 322 sites, et chacun est une piste à vérifier plutôt qu’une exposition confirmée.

Une vérification domaine par domaine répond à une question sur un seul site, en général après que quelque chose a déjà mal tourné. La liste téléchargeable permet le travail inverse. Mesurer la prévalence à l’échelle d’un pays ou d’un domaine de premier niveau, observer si elle baisse après qu’un framework a changé ses réglages par défaut, et trouver le parc concerné avant que quelqu’un de moins bien intentionné ne parte le chercher.