Télécharger les sites web qui utilisent RoundCube

À propos de RoundCube

La répartition est la partie intéressante de cette entrée. Nous rangeons RoundCube dans notre catégorie Webmail, ce qui colle approximativement, puisque le logiciel est un client webmail, une interface de navigateur posée sur une boîte IMAP, et non quelque chose qui envoie des campagnes. En revanche, l’étiquette capte bien qui le déploie. Les hébergeurs et les opérateurs de messagerie l’installent pour leurs clients, de sorte qu’une détection n’est presque jamais une décision prise par le propriétaire du site où elle apparaît.

La géographie le montre bien. Sur les 5 955 sites où nous détectons le logiciel en octobre 2026, 3 455 pointent vers une adresse IP située à Singapour, une concentration qu’aucune technologie réellement portée par les utilisateurs ne produit. L’hébergement est territorial. Un seul prestataire qui déploie un webmail sur l’ensemble des domaines de ses clients déplace à lui seul un total national, et lire un tel chiffre comme une préférence nationale serait une erreur.

Le mélange de domaines va dans le même sens. Le domaine de premier niveau que nous relevons le plus souvent est .icu, qui n’est pas l’endroit où les entreprises établies ont l’habitude de déposer leur nom. Les espaces de noms peu chers attirent l’enregistrement en masse, et l’enregistrement en masse est précisément la clientèle qui arrive avec un panneau de contrôle et une installation de webmail par défaut déjà activée. Quiconque utilise cette population pour de la génération de prospects devrait filtrer sévèrement d’après les schémas d’enregistrement avant de contacter une seule adresse.

Le développement est porté par Roundcube Community depuis 2005, en PHP, distribué sous licence GPL v3 et installé sur les mêmes serveurs mutualisés que les sites qu’il sert. Une telle longévité a une conséquence qu’il vaut mieux énoncer clairement : une interface qui est un réglage par défaut de panneau de contrôle depuis des années accumule des installations que personne n’a regardées depuis leur mise en place, et qui font tourner la version que le panneau livrait à l’époque.

La détection lit la page de connexion et ses ressources, ce qui veut dire que nous ne trouvons le logiciel que là où il répond sur un nom d’hôte web que nous explorons. Les installations logées sur un sous-domaine de messagerie hors de notre frontière d’exploration, ou restreintes à un réseau interne, nous restent invisibles, et le décompte doit se lire comme un plancher.

Les chercheurs en sécurité veulent généralement cette population pour la raison même qui la rend massive. Une page de connexion webmail exposée est une surface d’authentification, et un inventaire de ces pages à l’échelle d’un pays ou d’un domaine de premier niveau est un tout autre objet qu’une requête unique. Les fournisseurs d’hébergement et d’infrastructure de messagerie veulent la même liste pour trouver des prestataires plutôt que des sites, en regroupant les détections sous des serveurs de noms et des plages d’adresses partagés. Faire l’un ou l’autre de ces travaux un domaine à la fois n’est pas possible, et c’est à cela que sert l’export complet.