Scaricare i siti web che utilizzano git

Informazioni su git

Nessuno sceglie git come tecnologia per un sito web, ed è proprio per questo che la sua presenza in un profilo tecnologico merita una lettura attenta. Un sistema di controllo di versione ha il suo posto sulle macchine degli sviluppatori e sui server di build, non nella document root di un server web pubblico. Quando una scansione fa emergere artefatti legati a git su un sito attivo, la spiegazione abituale è che una procedura di deploy abbia copiato un repository di lavoro nella directory che il server web pubblica al mondo.

A ottobre 2026 registriamo artefatti di questo tipo su 117 siti. Il conteggio è una stima per difetto, e per giunta molto al di sotto della realtà. Il rilevamento dipende dal fatto che i file siano raggiungibili tramite semplice HTTP, quindi un server configurato per rifiutare le richieste alle directory che iniziano con un punto, una regola CDN che le blocca o un processo di rilascio che copia l’output compilato anziché una copia di lavoro terranno tutti il sito fuori dall’elenco, mentre la pratica di fondo resta identica. La popolazione visibile a un crawler è il sottoinsieme in cui la fuga avviene.

Quello che un riscontro indica, invece, è specifico e utile. I metadati del repository presenti in una web root pubblica possono esporre la cronologia dei commit, i nomi dei branch, gli indirizzi degli autori, i percorsi interni e, in alcune configurazioni, il codice sorgente stesso dell’applicazione, compresi i file eliminati in commit successivi che sopravvivono nell’archivio degli oggetti. Per un ricercatore di sicurezza l’elenco dei domini è un censimento di un errore di configurazione ben noto su tutto il web attivo. Per chi studia le pratiche di deploy, lo stesso elenco documenta come i siti vengono effettivamente pubblicati, che sia copiando una directory di lavoro, eseguendo un pull sul server o facendo un checkout all’interno del percorso servito.

Qui le versioni rilevate funzionano in modo diverso da quelle di qualsiasi prodotto in hosting. I nostri dati contengono 10 valori di versione distinti, e la più segnalata è la versione 2.45.2. Una stringa di versione che ci arriva descrive il client che ha scritto i metadati esposti, non un software che il gestore del sito ha scelto di servire, quindi la dispersione dei valori in un insieme di queste dimensioni riflette soprattutto l’età di ciascun deploy più che una politica di aggiornamento.

Il resto di ciò che registriamo è contesto più che segnale. La licenza è GPL v2, il primo rilascio risale al 2005 e l’implementazione è in C, e nessuno di questi elementi varia tra i siti in questione, perché nessuno di essi esegue lo strumento come servizio. La variazione che conta riguarda chi ha esposto i dati e che cosa contiene la fuga.

Una verifica sul singolo dominio risponde a una domanda circoscritta, cioè se un sito di cui si è già responsabili sta esponendo dati di repository. Il dataset scaricabile risponde a ciò che una singola ricerca non può chiarire. Quanto è diffusa l’esposizione in un segmento, se si concentra per piattaforma, fornitore di hosting o paese, e se una certa base clienti è messa meglio del web che la circonda. Sono tutte domande sulla popolazione, e le domande sulla popolazione richiedono l’elenco.