Télécharger les sites web qui utilisent Webmin

À propos de Webmin

Administrer un serveur depuis un navigateur paraissait excentrique lorsque Webmin est apparu en 1997. Modifier la configuration à la main via un shell distant était la norme chez les professionnels, et une interface graphique pour les comptes utilisateurs, les zones DNS, les files d’attente de courrier et la gestion des paquets s’adressait à des gens qui faisaient tourner une machine sans vouloir en mémoriser les fichiers. L’idée a survécu au scepticisme. Toute une génération de petits clients d’hébergement et de VPS a appris l’administration de serveur grâce à un panneau d’administration, et Webmin reste installé sur ce genre de machine.

Ce que signifie une empreinte ici est plus restreint qu’il n’y paraît. L’interface du panneau est la surface qu’un inconnu pourrait atteindre, si bien que la reconnaître signifie que le logiciel a suffisamment répondu à une requête non authentifiée venue de l’extérieur pour décliner son identité. Pour un outil qui gère les services, les utilisateurs et les fichiers de l’hôte avec des droits d’administration, être accessible depuis l’internet ouvert relève parfois d’une décision délibérée, et souvent d’un accident dû à une configuration par défaut que personne n’a revue.

En octobre 2026, nous relevons le panneau sur 3 sites. Le décompte est faible, et l’explication tient à l’endroit où nous regardons plutôt qu’à la fréquence du logiciel. Notre exploration suit les sites web, alors que le panneau écoute généralement sur un port distinct, sur une machine dont le rôle visible est de servir les domaines de quelqu’un d’autre. Les installations maintenues derrière un pare-feu ou accessibles uniquement par un tunnel privé nous sont invisibles par construction, ce qui est le bon résultat pour l’exploitant, même si cela fait de notre colonne un plancher.

L’outil est écrit en Perl et distribué sous licence BSD, et notre catalogue ne lui attribue aucun fournisseur, car il n’y a aucune entreprise à nommer. Quiconque croise cette liste avec celle du petit serveur web embarqué livré avec le panneau doit s’attendre à ce que les deux populations se recoupent largement plutôt qu’elles ne s’additionnent, puisqu’un même hôte produit généralement les deux empreintes.

Deux types de travaux exigent le fichier complet. Les équipes sécurité et infrastructure cartographient les interfaces d’administration exposées sur un parc d’hébergement, un système autonome ou un pays, et une réponse hôte par hôte ne leur sert à rien, car ce qu’elles cherchent à établir est un taux et non un incident. Les chercheurs qui étudient la manière dont les serveurs autogérés sont réellement administrés ont besoin de la même population pour la raison inverse, à savoir que le comportement intéressant, les réglages par défaut laissés en place et les panneaux oubliés après une migration, ne devient visible que lorsqu’on peut le compter. Dans un cas comme dans l’autre, la question porte sur l’ensemble, et c’est l’ensemble que contient un téléchargement.