Scaricare i siti web che utilizzano Clockwork

Informazioni su Clockwork

Nessuno installa una barra di debug perché degli estranei possano leggerla. Scritto in PHP e pubblicato con licenza MIT dal 2013, lo strumento Clockwork risiede all’interno di un’applicazione in esecuzione e registra tempi, query al database, output dei log e contenuti delle richieste, per poi consegnare il tutto a un’estensione del browser o a un visualizzatore autonomo. Sul portatile di uno sviluppatore è esattamente questo lo scopo. Su un host pubblico diventa invece una descrizione del funzionamento interno dell’applicazione, a disposizione di chiunque pensi di chiederla.

Un rilevamento si presta quindi a due letture contemporaneamente. La prima è tecnica: il sito esegue un’applicazione PHP, quasi certamente costruita su uno dei framework a cui la barra si aggancia, il che restringe lo stack molto più di quanto faccia il banner di un server. La seconda riguarda le procedure: una configurazione pensata per il lavoro in locale è arrivata in produzione con la strumentazione ancora attiva, oppure un host di staging è stato pubblicato sull’internet aperta senza che nessuno se ne accorgesse. Nessuna delle due letture fa onore al gestore, ed entrambe sono utili a chi, per lavoro, deve individuare i punti in cui la configurazione si è allontanata da quella prevista.

Poiché la barra viene distribuita come libreria e non come tag ospitato, la sua versione fa parte dell’impronta. Al momento distinguiamo 45 stringhe di versione diverse tra le installazioni che rispondono, e 5.3.3 è quella più frequente. Una dispersione così ampia su una dipendenza di sviluppo significa di solito che il pacchetto è stato bloccato su una versione una sola volta, all’avvio del progetto, e poi lasciato com’era, il che dice qualcosa sulle abitudini di manutenzione almeno quanto sul pacchetto stesso.

Qui il rilevamento procede per inferenza, e restituisce un conteggio inferiore alla realtà. La barra può essere installata con l’interfaccia disattivata, limitata a determinati indirizzi, instradata su una porta che nessuno scansiona o attivata solo quando è impostato un flag di debug, e in ciascuno di questi casi l’applicazione è strumentata senza che a noi arrivi nulla. Contare Clockwork significa contare le installazioni che rispondono, non quelle che esistono. A ottobre 2026 rileviamo lo strumento su 839 siti, e il dato va letto come una stima per difetto più che come un censimento.

L’elenco scaricabile risponde a una domanda a cui la verifica di un dominio alla volta non può rispondere. Una singola ricerca indica se un determinato host è esposto. La popolazione completa mostra quanto sia diffusa l’esposizione, presso quali provider di hosting e quali comunità di framework si concentri, e se il conteggio cambi man mano che i manutentori rendono più restrittive le impostazioni predefinite. I ricercatori di sicurezza usano un elenco come questo per stimare la portata di una classe di configurazioni errate prima di decidere se valga una segnalazione. I fornitori che vendono strumenti di profilazione, tracciamento degli errori o monitoraggio delle applicazioni nel mondo PHP leggono le stesse righe come una mappa dei team che già strumentano il proprio codice e che, come prima scelta, si sono rivolti a un’opzione gratuita.