Scaricare i siti web che utilizzano PostgreSQL

Informazioni su PostgreSQL

Un database dovrebbe essere invisibile dall’esterno. Nulla in un sito costruito con cura dovrebbe rivelare a un estraneo che cosa conserva i suoi dati, ed è la prima cosa da capire su questa riga di un dataset tecnologico. Rilevare un database dal web pubblico significa che il sito ha rivelato qualcosa che non era tenuto a rivelare.

Il database PostgreSQL è sviluppato dal 1989 in C ed è distribuito con licenza PostgreSQL License, il che significa che è gratuito, privo di un marchio commerciale e installato da chiunque lo desideri, senza alcuna fase di registrazione in nessun punto del processo. Nessun fornitore possiede un elenco di clienti. A ottobre 2026 rileviamo il database su 102.627 siti, e la descrizione onesta di questo dato è che conta le divulgazioni e non le installazioni.

Le divulgazioni provengono da una manciata di punti ricorrenti. Framework e interfacce di amministrazione che dichiarano il proprio backend, strumenti per database pubblicati su un sottodominio, messaggi di errore che finiscono in una risposta, librerie di connessione dichiarate in una pagina e pacchetti di piattaforma in cui lo stack è documentato anziché nascosto. Ognuno di questi casi è una fuga di informazioni o una convenzione, non un annuncio, e i siti che li producono non sono un campione casuale dei siti che usano il database.

La distorsione va in una direzione che vale la pena nominare. I parchi di server configurati con cura non rivelano nulla, quindi la popolazione visibile pende verso team più piccoli, server autogestiti, ambienti di staging mai messi in sicurezza e applicazioni il cui stack fa parte della descrizione del prodotto. Le installazioni ben finanziate e gestite in modo professionale sono proprio quelle assenti dall’elenco.

Niente di tutto questo rende la popolazione inutile. La rende una popolazione specifica con usi specifici. Chi vende servizi di hosting gestito, backup, monitoraggio o migrazione cerca installazioni autogestite più che grandi flotte aziendali, e le installazioni autogestite sono proprio ciò che trova un segnale basato sulle divulgazioni. I ricercatori di sicurezza vogliono le stesse righe per la ragione opposta, perché uno stack che nomina pubblicamente il proprio database di solito ha già rivelato a un estraneo diverse altre cose.

Dei rilevamenti, 38.563 si trovano negli Stati Uniti e gran parte del resto ricade nell’estensione .com, il che riflette dove si trova l’hosting più che dove si trovano gli sviluppatori. La geografia dell’hosting e quella degli sviluppatori divergono di più per i componenti infrastrutturali che per qualsiasi elemento rivolto all’utente, quindi qui il paese va letto come un’informazione sulla localizzazione dei dati e non come un dato di mercato.

La domanda a cui risponde un download è la co-occorrenza: quali framework, quali server web, quali provider di hosting e quali paesi si accompagnano a questi rilevamenti, sull’intera popolazione invece che su un suo campione. Un dominio controllato a mano dice qualcosa su un solo dominio. Il file completo, ricostruito ogni giorno, permette di costruire un profilo della fuga di informazioni stessa e poi di decidere fino a che punto si è disposti a generalizzare a partire da esso, una valutazione che spetta a chi usa i dati e non a noi.