Télécharger les sites web qui utilisent WebGUI

À propos de WebGUI

Perl comptait parmi les façons les plus répandues de construire le web lorsque WebGUI a fait son apparition en 2001, et presque rien dans cette phrase ne s’applique encore aux nouveaux projets. Rangé dans la catégorie CMS, écrit en Perl, publié sous licence GPL v2 et développé commercialement par Plain Black Corporation, WebGUI est arrivé à une époque où l’auto-hébergement était la norme et où un système de contenu était quelque chose qu’une organisation installait, configurait, puis possédait pendant des années.

Ce type de possession explique à lui seul tout ce que nous détectons aujourd’hui. Les installations ne disparaissent pas quand un projet perd son élan. Elles persistent, parce que le site fonctionne toujours, que le contenu est toujours servi et que personne n’a financé de remplacement. La longévité sélectionne aussi un type particulier de propriétaire. Les organisations au budget modeste, dotées d’un site vitrine ou d’un site réservé aux membres qui évolue peu, et sans aucune envie de refonte, maintiennent ce genre de système en service bien au-delà du moment où une entreprise en croissance aurait changé de plateforme. Un domaine qui fait tourner WebGUI aujourd’hui est donc généralement un site de longue date, entretenu par quelqu’un qui en a hérité plutôt que de l’avoir choisi, ce qui constitue une situation précise et très facile à cibler.

Les données de version confirment cette lecture. Nous relevons 6 chaînes de version distinctes sur les installations dont nous identifions l’empreinte, et 7.10.30 revient régulièrement parmi elles. Une chaîne de version aussi précise, sur une branche aussi ancienne, est la signature d’une installation laissée en l’état pendant longtemps. La dispersion entre autant de chaînes indique aussi qu’aucun chemin de mise à jour coordonné n’est à l’œuvre, ce qui correspond à ce qu’on attend de déploiements auto-hébergés indépendants plutôt que d’un parc géré.

Trois publics achètent des listes de cette forme. Les agences de migration de plateforme et les fournisseurs concurrents dans la catégorie CMS voient une base auto-hébergée vieillissante comme un vivier de prospects, puisque chaque entrée est un site qui devra tôt ou tard changer de plateforme et un propriétaire que personne n’a encore démarché. Les chercheurs en sécurité lisent la même liste comme une mesure d’exposition, car du code côté serveur non maintenu, doté d’une interface d’administration sur un hôte public, présente le profil classique d’une cible facile. Les historiens du web et les chercheurs qui suivent l’usage des langages dans une catégorie y trouvent la trace mesurable d’un déclin qui, sinon, resterait anecdotique.

La détection a des limites qu’il vaut mieux énoncer. La version provient de ce que le logiciel annonce dans son balisage ou ses en-têtes, qu’un administrateur peut supprimer, si bien que la couverture des versions est partielle et penche vers les installations qui n’ont jamais été durcies. Un site peut aussi se trouver derrière un proxy inverse ou être exporté en fichiers statiques, auquel cas nous ne voyons pas le système de la catégorie CMS qui se trouve derrière. Une correspondance signifie que l’empreinte est apparue, et non que l’installation soit maintenue, ni même encore administrée.

En octobre 2026, nous détectons WebGUI sur 169 sites. Confirmer l’un d’entre eux relève d’une requête que tout le monde peut faire. Fournir l’ensemble de la population survivante, ce qu’exigent réellement un vivier de prospects pour la migration, un recensement des vulnérabilités ou une étude de Perl sur le web public, c’est précisément la raison d’être de la liste téléchargeable.