Scaricare i siti web che utilizzano SonarQubes

Informazioni su SonarQubes

Un server per la qualità del codice non dovrebbe affatto trovarsi sul web pubblico. La piattaforma dietro questa impronta gira all’interno di una pipeline di build, legge il codice sorgente di un’azienda e segnala bug, vulnerabilità e scorciatoie accumulate agli sviluppatori che hanno scritto quel codice, e il suo ambiente naturale è una rete interna. Quando una scansione dei siti web pubblici ne trova uno, il fatto interessante non è il software, ma l’esposizione.

Anzitutto, una nota sul nome. La nostra scheda riporta una lettera finale che la grafia ufficiale del fornitore non ha, un artefatto del modo in cui l’impronta è stata etichettata e non la prova di un prodotto distinto, e il campo del fornitore, la licenza e il sito del progetto puntano tutti alla stessa piattaforma Java pubblicata da SonarSource con licenza LGPL e risalente al 2007.

A ottobre 2026 vediamo la piattaforma rispondere su 87 host. Per una piattaforma la cui sede naturale è un server di build, un conteggio così piccolo è il segnale rivelatore: ciò che possiamo rilevare è la frazione di istanze la cui dashboard risponde su un indirizzo pubblico, non la base installata. Tutte le altre istanze stanno dietro un firewall o in una rete privata, dove devono stare.

Per un ricercatore la lettura è diretta. Un’istanza raggiungibile pubblicamente implica un’organizzazione che gestisce la propria integrazione continua, su hardware proprio o su un proprio account cloud, con abbastanza personale tecnico da giustificare anche solo l’adozione di un quality gate. Una dashboard pubblica implica anche un errore di configurazione, o quanto meno la decisione di lasciare dove chiunque può leggerla una pagina che elenca per nome i punti deboli di un progetto. I team di sicurezza trattano una scoperta del genere come lavoro da fare. I team commerciali trattano lo stesso host come un lead qualificato, perché una piattaforma di qualità in self-hosting dice di più su un budget di ingegneria di quanto faccia un annuncio di lavoro.

I limiti sono quelli consueti, ma qui pesano più che altrove. Una schermata di accesso può essere irrobustita fino a nascondere del tutto il prodotto, un reverse proxy può rinominare i percorsi da cui dipende un’impronta, e le istanze compaiono e scompaiono tra una scansione e l’altra, man mano che qualcuno nota la porta aperta e la chiude. Il nostro conteggio è una stima per difetto, ricavata da ciò che risponde pubblicamente in una determinata data.

Chiedersi se una singola azienda espone un server di build è un compito per uno scanner puntato su quell’azienda. Chiedersi quali host, in tutta internet, ne espongano uno, quali di essi si trovino su domini aziendali anziché sulla macchina personale di uno sviluppatore, e come quell’insieme cambi da una scansione all’altra, è una domanda a cui solo un elenco scaricabile può rispondere.