Scaricare i siti web che utilizzano ipify

Informazioni su ipify

Non tutte le tecnologie presenti su un sito web sono state acquistate. Il servizio ipify è un’API pubblica e gratuita che risponde a una sola domanda, cioè qual è l’indirizzo IP pubblico di chi la interroga, e restituisce la risposta come testo semplice o JSON, senza chiave, senza account e senza contratto. Uno sviluppatore che aveva bisogno di quella risposta in fretta ha incollato qualche riga di JavaScript in una pagina, e da allora la chiamata parte a ogni caricamento della pagina.

La classificazione nella categoria Geolocation dice con onestà di che cosa si tratta. La presenza di questo endpoint non dice nulla sul budget di un’azienda, sul suo comportamento d’acquisto o sulla maturità del suo stack, perché non c’è stato alcun acquisto su cui ragionare. Quello che indica è di natura architetturale, e per alcuni tipi di ricerca l’architettura è il dato più interessante.

Ogni pagina che interroga un servizio pubblico per conoscere l’indirizzo IP invia una richiesta a un server che nessuno su quel sito controlla, al momento del caricamento e dal browser stesso del visitatore. La libreria client è distribuita con licenza MIT e il codice è banale da leggere, ma il servizio che c’è dietro è un’unica dipendenza esterna che si trova nel percorso critico di qualunque funzione ne dipenda, che si tratti di un reindirizzamento in base alla posizione, di un controllo antifrode, della precompilazione di un modulo o di una chiamata di logging. Per una revisione di sicurezza o di privacy, una richiesta in uscita che porta l’indirizzo di un visitatore verso un endpoint estraneo al sito è un rilievo da annotare, per quanto in buona fede possa essere il gestore del servizio.

Lo schema circola dal 2014, abbastanza a lungo da essere copiato in tutorial, esempi di codice e boilerplate interni, ed è così che si diffonde. Le installazioni si raggruppano attorno al framework o allo snippet che le ha introdotte, più che attorno a un settore, a un paese o a una dimensione aziendale, e un rilevamento dice quindi più su dove ha imparato lo sviluppatore che sull’attività che sta dietro il sito.

A ottobre 2026 rileviamo il servizio su 1002 siti. Cercare un singolo dominio confermerebbe soltanto che quel sito chiama l’endpoint. Un elenco scaricabile è molto più utile nel suo insieme, sia come studio di come un’utilità gratuita diventi in sordina un’infrastruttura senza che nessuno l’abbia deciso, sia come base per le analisi del rischio di terze parti, dato che si tratta di siti che fanno passare un dato dei visitatori attraverso lo stesso servizio esterno e che rischiano di smettere di funzionare allo stesso modo e nello stesso giorno se quel servizio smettesse di rispondere.