Scaricare i siti web che utilizzano MantisBT

Informazioni su MantisBT

Un issue tracker raggiungibile liberamente da internet si trova spesso lì per errore. Il tracciamento dei bug è software interno. Il posto di un tracker è una rete privata, accanto al repository del codice sorgente, e quando un crawler ne trova uno di solito ha scoperto il modo in cui un’azienda lavora, non la sua comunicazione di marketing.

MantisBT è questo tipo di software dal 2000, scritto in PHP e distribuito con licenza GPL v2, il che spiega sia la sua longevità sia i luoghi in cui affiora. Un tracker che si installa su qualsiasi hosting condiviso economico dotato di database, e che non richiede alcuna trattativa sulla licenza, si diffonde in posti che un prodotto commerciale con prezzo per postazione non raggiunge mai: dipartimenti universitari, uffici informatici comunali, piccoli fornitori di software, progetti interni di lunga durata in aziende che lo hanno adottato una volta e non hanno mai riconsiderato la scelta. La licenza libera spiega anche perché non esista un fornitore a cui chiedere il numero di clienti, e perché il rilevamento indipendente sia l’unico modo per vedere anche solo una parte del parco installato.

A ottobre 2026 rileviamo MantisBT su 9 siti, e il motivo per cui il numero è basso è strutturale, non un giudizio sul progetto. Le istanze che un crawler riesce a vedere sono quelle configurate male, quelle volutamente pubbliche dei progetti open source e quelle parcheggiate su un sottodominio che qualcuno ha dimenticato. Tutto ciò che sta dietro un firewall, una VPN o una schermata di autenticazione è invisibile per sua stessa natura. Il vero parco installato non si può conoscere dall’esterno, e chi citasse il nostro conteggio come misura dell’adozione citerebbe in realtà il tasso di esposizione.

Il tasso di esposizione è, guarda caso, proprio la misura che interessa a diversi lettori. Ai ricercatori di sicurezza importa perché un tracker pubblico è un’applicazione datata con un modulo di accesso, un percorso di caricamento dei file e uno storico documentato di avvisi di sicurezza, e perché i ticket al suo interno descrivono spesso l’infrastruttura nel dettaglio. Chi si occupa del rischio fornitori in una grande organizzazione vuole sapere se il tracker di un partner risponde pubblicamente su internet. Chi vende strumenti per lo sviluppo trova in questo elenco un insieme di team che gestiscono sui propri server un tracker mantenuto da anni, il che è un criterio di qualificazione specifico e raro.

Una verifica per singolo dominio conferma un solo host. Il download fornisce tutto l’insieme visibile, con l’ambiente operativo che circonda ciascuna istanza, ed è questo che trasforma una curiosità in un’indagine.