Scaricare i siti web che utilizzano Java Servlet

Informazioni su Java Servlet

Un sito non si ritrova a usare Java Servlet per caso. La scelta viene fatta una sola volta, di solito da un team di ingegneria che mette in piedi un application server come Tomcat, JBoss o WebSphere, e poi resta al suo posto finché esiste l’applicazione. Nessuno sostituisce un livello di servlet come si sostituisce un plugin. La tecnologia è quindi il marcatore di un tipo particolare di organizzazione: una realtà con sviluppatori Java interni, un processo di rilascio e un’applicazione nata prima delle mode attuali in fatto di stack web.

La tecnologia Java Servlet è arrivata nel 1997, quando la programmazione web lato server significava ancora in gran parte script CGI, ed è diventata il livello su cui sono stati costruiti i successivi framework web Java. La gestione è poi passata a Eclipse Foundation, che oggi pubblica la tecnologia con licenza Apache 2.0 all’interno della famiglia Jakarta. Il cambio di nome conta per chiunque compili un elenco, perché le installazioni sul campo si identificano ancora sia con il vecchio sia con il nuovo nome, e un sistema di rilevamento che ne conosce solo uno si lascerà sfuggire, senza segnalarlo, una parte del parco.

In entrambi i casi il rilevamento è frutto di un’inferenza. Un livello di servlet raramente si annuncia nel corpo di una pagina. Leggiamo invece le firme del container, i nomi dei cookie di sessione, le impronte delle pagine di errore e gli schemi di URL che un container di servlet lascia dietro di sé. Un sito che si trova dietro un reverse proxy o una CDN che elimina questi segnali non verrà contato affatto, quindi la cifra è una stima per difetto e non un censimento. A ottobre 2026 registriamo Java Servlet su 21.031 siti.

Le informazioni sulla versione sono più scarse e più rivelatrici. Riusciamo ad attribuire una versione specifica solo a una parte di quella popolazione, distribuita su 8 versioni distinte, e la versione che attribuiamo più spesso è la 3.1. Uno stack che segnala ancora una versione più vecchia delle servlet dice qualcosa sul proprio ritmo di aggiornamento e, per estensione, sulla propria propensione per un progetto di migrazione e sulla propria esposizione a tutto ciò che è stato corretto nelle versioni saltate.

Due tipi di pubblico acquistano questa porzione dei dati. I fornitori che vendono application server, agenti di monitoraggio, runtime Java o servizi di modernizzazione devono sapere quali aziende abbiano ancora un parco basato sulle servlet, perché quella popolazione non cresce e non è visibile dall’esterno. I ricercatori di sicurezza hanno bisogno del contrario: un inventario permanente degli host che usano un livello di container le cui vulnerabilità riguardano l’intero container e non il singolo sito. Una ricerca per singolo dominio non serve né agli uni né agli altri. Controllare un sito dice che cosa usa quel sito. Solo un’esportazione completa permette di filtrare la popolazione delle servlet per paese, estensione di dominio e tecnologie presenti sullo stesso sito, e poi di consegnare il risultato a qualcuno che deve agire di conseguenza.