Scaricare i siti web che utilizzano mod_ssl

Informazioni su mod_ssl

Il modulo mod_ssl non è qualcosa che un sito sceglie. Fa parte del modo in cui Apache HTTP Server gestisce il TLS, viene compilato o caricato da chi ha configurato la macchina, e il proprietario del sito che ci sta sopra di solito non sa nemmeno che quel nome esista. Per questo è un segnale di tipo diverso rispetto a un plugin o a una piattaforma, e per certi versi più onesto, perché nessuno lo ha adottato per ragioni di marketing.

Mantenuto da Apache Software Foundation e rilasciato con licenza Apache 2.0, il modulo risale al 1998, quando la crittografia forte per il web era ancora un’aggiunta posticcia e non un’impostazione predefinita. Scritto in C sulla base di OpenSSL, mod_ssl fornisce ad Apache la gestione dei certificati, la configurazione dei cifrari e la negoziazione dei protocolli. Nella nostra classificazione il modulo rientra nella categoria Web server extensions, anche se il suo ruolo reale è infrastrutturale.

A ottobre 2026 rileviamo 66.261 siti che dichiarano il modulo, e la parte che merita attenzione è il quadro delle versioni. Come stringa di versione principale registriamo 2.2.34 e contiamo 84 valori distinti nell’intera popolazione. Una versione di un ramo che il progetto originale ha ritirato da tempo, e che è ancora presente in una parte consistente della base, cambia il modo in cui si legge tutto il resto. Le build di server rimaste in servizio a lungo non indicano automaticamente una crittografia debole, perché i fornitori delle distribuzioni riportano le correzioni di sicurezza sulle versioni precedenti senza cambiare il numero di versione, e una macchina che espone una stringa vecchia può essere del tutto aggiornata sotto la superficie. Ma una dispersione su così tante stringhe distinte indica che la popolazione non è gestita in modo centralizzato, e che lo stato delle patch va dedotto anziché dato per scontato.

La ripartizione per paese è il secondo elemento che salta all’occhio. Dei siti rilevati, 13.365 si trovano in Giappone, una distribuzione che si discosta dallo schema seguito dalla maggior parte dei dati tecnologici di questo catalogo. Una grande industria nazionale dell’hosting che gestisce il proprio hardware, lunghi periodi di servizio e aggiornamenti prudenti spingono tutti nella stessa direzione, e il risultato è il parco server di un intero paese, che resta visibile per anni dopo che altri mercati si sono spostati dietro piattaforme gestite.

Tutto ciò che precede poggia su una scelta di configurazione, ed è questa l’avvertenza che conta di più. Apache elenca i propri moduli nell’intestazione di risposta solo quando l’amministratore lascia in modalità dettagliata l’impostazione server tokens, e moltissimi operatori la riducono al solo nome del prodotto o eliminano del tutto l’intestazione a livello di proxy. Ogni server sottoposto a hardening, ogni sito dietro una CDN che riscrive le intestazioni e ogni distribuzione che adotta un’impostazione predefinita silenziosa risultano invisibili a una scansione di questo tipo. La popolazione che riportiamo, quindi, non è la popolazione delle installazioni TLS di Apache, ma il sottoinsieme che ancora si annuncia, che tende a essere più vecchio, meno spesso protetto da proxy e meno sottoposto a hardening rispetto al totale. Detto chiaramente, il dato sottostima, e la sottostima non è casuale.

Ed è esattamente per questo che il file conta più di una ricerca puntuale. Sapere che un server dichiara una certa versione del modulo risponde a una domanda di assistenza. Avere l’intera popolazione rilevata in un estratto scaricabile, incrociata con paese, estensione di dominio e il resto dello stack, permette invece di rispondere a domande di ricerca. Come invecchiano i parchi server, dove sopravvivono i rami ritirati, quali mercati dell’hosting mantengono in servizio infrastrutture di lunga durata e in quali segmenti andrebbe venduto un prodotto di gestione delle patch, di scansione o di migrazione. Domande di questo tipo richiedono l’intero elenco in una volta sola, e lo richiedono come file da filtrare in autonomia.