Scaricare i siti web che utilizzano Harbor

Informazioni su Harbor

Un registry di immagini container risponde alle macchine, non ai lettori. Harbor conserva le immagini che un’organizzazione distribuisce e le consegna ai cluster che presentano le credenziali corrette, collocandosi tra una pipeline di build e la produzione, dove nulla è pensato per essere rivolto ai visitatori, quindi trovarne l’interfaccia che risponde su un hostname pubblico è già di per sé un’informazione rilevante.

Alcuni di questi host sono esposti intenzionalmente. I fornitori pubblicano immagini per i clienti, i progetti open source distribuiscono build e le aziende che offrono piattaforme a volte gestiscono un registry pubblico come parte di un prodotto. Gli altri sono sistemi interni diventati raggiungibili dall’esterno, di solito perché un hostname era comodo e il perimetro di rete era dato per scontato invece di essere imposto. Le due letture sono entrambe interessanti, e solo un elenco completo permette di distinguere l’una dall’altra.

Il software in sé è aperto, pubblicato da VMware con licenza Apache 2.0 e scritto in Go, il che conta per capire chi lo utilizza. Un’organizzazione che ospita in proprio un registry ha scelto di tenere le proprie immagini all’interno di un’infrastruttura che controlla invece di caricarle su un servizio cloud gestito, e questa scelta di solito deriva da norme di conformità, da ambienti air-gapped o da una policy di scansione delle immagini che un registry esterno non può soddisfare. Disponibile dal 2016, il progetto ha avuto il tempo di diventare una componente stabile di questo tipo di stack, e non un esperimento.

A ottobre 2026 rileviamo Harbor su 580 host. Una popolazione di queste dimensioni è piccola per gli standard del web e di valore sproporzionato, perché ogni voce corrisponde a un’organizzazione che gestisce la propria piattaforma di container. I fornitori di firma per la supply chain, scansione delle vulnerabilità, gestione degli artefatti, strumenti per cluster e servizi di migrazione al cloud descrivono tutti lo stesso acquirente, e nessuna directory pubblica lo elenca da nessuna parte. Neppure una ricerca per singolo dominio aiuta, dato che gli host interessanti sono sottodomini dal nome che suona interno, che nessuno penserebbe di controllare a mano.

Per questa voce l’avvertenza è insolitamente importante. Un registry dietro una rete privata virtuale, un proxy basato sull’identità o un intervallo di indirizzi privati è per noi invisibile e non comparirà mai nel file, quindi l’esportazione sottostima di molto le installazioni reali e rappresenta specificamente quelle raggiungibili pubblicamente. Inoltre nulla nell’elenco va letto come un’affermazione che un determinato host sia configurato male. La raggiungibilità pubblica è qualcosa che abbiamo osservato, mentre se fosse voluta è una domanda a cui solo l’operatore può rispondere, e non tentiamo di rispondere al suo posto.