Scaricare i siti web che utilizzano mod_wsgi

Informazioni su mod_wsgi

I moduli server sono la parte di uno stack che nessuno sceglie due volte. Uno schema di deployment viene deciso quando un’applicazione va in produzione per la prima volta e poi sopravvive, in gran parte intatto, ad anni di sviluppo di nuove funzionalità, perché cambiare il modello dei processi è un progetto con rischi reali e nessun beneficio visibile.

Il modulo mod_wsgi è proprio quella decisione, conservata nel tempo. Rilasciato nel 2007 e scritto in C, il modulo incorpora un interprete Python all’interno di Apache oppure esegue l’applicazione in processi demone supervisionati da Apache, il che per un lungo periodo è stato il modo standard di ospitare un’applicazione web Python. La licenza Apache 2.0 e l’assenza di un’azienda dietro il progetto hanno fatto sì che si diffondesse attraverso documentazione e tutorial e non attraverso la vendita. Le installazioni più recenti tendono invece a collocare un application server dedicato dietro un reverse proxy, quindi trovare il modulo oggi è un discreto indicatore del fatto che l’host risale a prima di quel cambiamento oppure è stato configurato da qualcuno che si è formato proprio in quel periodo.

È nei dati di versione che la popolazione assume contorni precisi. Vediamo in circolazione 73 versioni distinte, e la versione 5.0.0 ricorre più spesso di qualsiasi altra build. Una dispersione di questa portata su un singolo modulo di Apache non è un normale ricambio. Una dispersione di questa portata indica installazioni bloccate da un pacchetto del sistema operativo, congelate in un’immagine container creata anni fa e mai ricostruita, oppure tenute ferme da un file di requisiti che nessuno osa toccare. Per chi monitora l’esposizione, la distribuzione delle versioni è la scoperta stessa, non un dettaglio associato a una scoperta.

Il rilevamento è inferenziale, e preferiamo dirlo apertamente. Il modulo si annuncia in un’intestazione del server quando l’amministratore lascia invariata la configurazione predefinita, e molti amministratori non lo fanno. Gli host messi in sicurezza rimuovono o riscrivono quell’intestazione, un reverse proxy o una CDN davanti all’origine di solito la sostituisce del tutto, e in entrambi i casi un’installazione perfettamente funzionante diventa invisibile dall’esterno. A ottobre 2026 rileviamo mod_wsgi su 23.859 siti, e ciascuno di essi è un host che esegue il modulo e al tempo stesso lo dichiara. La base installata reale è più ampia di un fattore sconosciuto, e qualsiasi analisi che tratti il conteggio come completo sottostimerà la diffusione di Python ospitato su Apache.

La geografia segue la stessa logica della dispersione delle versioni. Le rilevazioni che si trovano negli Stati Uniti sono 12.072, e .com è l’estensione di dominio che compare più spesso, il che riflette i luoghi in cui si sono accumulati i parchi di hosting di lunga data e le infrastrutture universitarie più che il luogo in cui oggi si scrive Python.

Un’esportazione risponde a una domanda sulla popolazione. Quali host eseguono ancora questo schema, presso quali provider, con quali versioni, accanto a quali framework e a quali build di Apache. I ricercatori di sicurezza usano queste informazioni per delimitare l’esposizione, le società di consulenza sulla migrazione per trovare parchi che vale la pena modernizzare, e i manutentori dei framework per decidere che cosa deve continuare a funzionare. Interrogare un singolo dominio dice che cosa esegue quel dominio. Interrogare l’elenco dice se una deprecazione è una nota a margine o una modifica incompatibile per una base installata consistente.