Scaricare i siti web che utilizzano Azure AD B2C

Informazioni su Azure AD B2C

Le pagine di accesso sono la parte di un sito web che un crawler ha meno probabilità di vedere. L’autenticazione di solito si trova su un host separato, dietro un redirect o dopo il clic su un pulsante, quindi qualsiasi conteggio di una piattaforma di identità parte svantaggiato ancora prima che venga fatta la prima richiesta.

Azure AD B2C è il servizio di identità in hosting di Microsoft per le applicazioni rivolte ai consumatori, disponibile dal 2015 e venduto con licenza Proprietary. La presenza del servizio su un sito dice qualcosa di piuttosto preciso sull’organizzazione che c’è dietro: gli account utente sono stati trattati come un’infrastruttura da noleggiare anziché da costruire, il team si trovava a proprio agio nell’ecosistema di un grande fornitore cloud, e accesso, reimpostazione della password e collegamenti con i provider di login social sono stati affidati a un servizio con un contratto alle spalle. Scegliere un provider di identità gestito è una decisione presa una volta, al momento dello sviluppo, e poi lasciata invariata per anni, il che ne fa un segnale duraturo sullo stack e non un segnale di moda.

A ottobre 2026 rileviamo Azure AD B2C su 8 siti, e la lettura onesta di questa cifra è che si tratta di una stima per difetto. Il rilevamento dipende dal fatto che una pagina pubblica riveli il collegamento, in genere tramite la destinazione di un redirect, un riferimento a uno script o un endpoint di login su un dominio che abbiamo scansionato. Un’applicazione la cui autenticazione compare solo dopo che l’utente ha cliccato, o che si trova su un sottodominio mai scaricato, mancherà dall’insieme anche se il servizio è in produzione.

La sottostima va dichiarata con chiarezza, perché l’alternativa è citare un numero che sembra una quota di mercato e non lo è. Un insieme completo di domini confermati serve a qualcos’altro: incrociato con le categorie, i paesi e le estensioni di dominio di primo livello in cui si collocano quei domini, indica dove viene adottata l’identità gestita per i consumatori e da quale tipo di azienda, su un’intera popolazione in una volta sola.

I ricercatori di sicurezza usano elenchi come questo per delimitare quali siti sarebbero coinvolti da un incidente presso un provider di identità. I concorrenti di Microsoft li usano per trovare account che si affidano allo stack di login di qualcun altro. I consulenti li usano per dimostrare che un mercato esiste prima di proporre una migrazione. Nessuno di questi lavori si può fare un dominio alla volta, ed è questa la differenza pratica tra una ricerca puntuale e un file scaricabile: il file permette di filtrare, incrociare e contare, mentre una ricerca puntuale conferma soltanto ciò che si sospettava già su un sito che si conosceva già.