Télécharger les sites web qui utilisent PostgreSQL

À propos de PostgreSQL

Une base de données est censée rester invisible depuis l’extérieur. Rien, sur un site construit avec soin, ne devrait indiquer à un inconnu ce qui stocke ses données, et c’est la première chose à comprendre au sujet de cette ligne dans un dataset technologique. Détecter une base de données depuis le web public signifie que le site a divulgué quelque chose qu’il n’était pas obligé de divulguer.

PostgreSQL est développé depuis 1989 en C et publié sous la licence PostgreSQL License, autrement dit il est gratuit, sans marque imposée et installé par qui le souhaite, sans aucune étape d’enregistrement dans le processus. Aucun fournisseur ne détient de liste de clients. En octobre 2026 nous le détectons sur 31 072 sites, et la description honnête de ce chiffre est qu’il compte des divulgations plutôt que des déploiements.

Les divulgations viennent d’une poignée d’endroits récurrents. Des interfaces d’administration et de framework qui nomment leur backend, de l’outillage de base de données publié sur un sous-domaine, des messages d’erreur qui s’échappent dans une réponse, des bibliothèques de connexion déclarées dans une page, et des offres groupées de plateforme où la stack est documentée plutôt que cachée. Chacun de ces cas relève de la fuite ou de la convention plutôt que de l’annonce, et les sites qui les produisent ne forment pas un échantillon aléatoire des sites qui font tourner la base de données.

Le biais va dans une direction qu’il vaut la peine de nommer. Un parc configuré avec soin ne divulgue rien, si bien que la population visible penche vers les petites équipes, les serveurs auto-administrés, les environnements de préproduction que personne n’a jamais verrouillés, et les applications dont la stack fait partie de la description du produit. Les déploiements bien dotés et gérés de façon professionnelle sont précisément ceux qui manquent à la liste.

Rien de tout cela ne rend la population inutile. Cela en fait une population particulière, avec des usages particuliers. Quiconque vend de l’hébergement infogéré, de la sauvegarde, de la supervision ou des services de migration cherche des installations auto-administrées plutôt que des flottes d’entreprise, et ce sont justement les installations auto-administrées qu’un signal fondé sur la divulgation permet de trouver. Les chercheurs en sécurité veulent les mêmes lignes pour la raison inverse, car une stack qui nomme sa base de données en public a le plus souvent révélé plusieurs autres choses à un inconnu.

On trouve 10 734 des détections aux États-Unis, et la zone .com en porte une bonne part du reste, ce qui reflète l’endroit où se trouve l’hébergement plutôt que celui où se trouvent les développeurs. La géographie de l’hébergement et celle des développeurs divergent davantage pour les composants d’infrastructure que pour tout ce qui est visible par l’utilisateur, si bien que le pays doit se lire ici comme un fait de résidence des données et non comme un fait de marché.

La question à laquelle répond un téléchargement est celle de la cooccurrence. Quels frameworks, quels serveurs web, quels hébergeurs et quels pays accompagnent ces détections, sur l’ensemble de la population et non sur un échantillon. Un domaine vérifié à la main vous renseigne sur un seul domaine. Le fichier complet, reconstruit chaque jour, vous permet de dresser le profil de la fuite elle-même, puis de décider jusqu’où vous acceptez de généraliser à partir de là, ce qui relève de votre jugement et non du nôtre.