Descarregar sites que utilizam Apereo CAS

Sobre Apereo CAS

A autenticação única de uma universidade é uma das poucas peças de infraestrutura de autenticação que o visitante está mesmo destinado a ver. A página de início de sessão é pública, traz a identidade visual da instituição e reside normalmente num nome de máquina próprio, separado do site que para lá enviou o utilizador. É esse hábito de arquitetura que torna este software ao mesmo tempo detetável e muito subcontado.

Um serviço central de autenticação é a porta de entrada para tudo o resto que uma organização mantém. O correio, os sistemas de biblioteca, as plataformas de cursos, os portais de financiamento e as ferramentas internas delegam todos nele, por isso a sua presença implica uma instituição com muitas aplicações e uma decisão, tomada de forma central, de que uma só identidade deve abrir todas elas. Ninguém instala software desta classe para proteger um domínio concreto.

Em outubro de 2026 detetamos o serviço em 10 nomes de máquina. O total é pequeno e a razão é estrutural, não comercial. Os servidores de início de sessão ficam em subdomínios raramente ligados a partir de uma página inicial e muitas vezes excluídos do rastreio, e muitas instituições colocam-nos atrás de um portal que só aparece depois de um reencaminhamento. Uma organização pode correr o software para dezenas de milhares de pessoas e ainda assim aparecer uma vez, ou nenhuma, num índice público da web. O valor é prova de presença, não é uma medida do parque instalado.

O registo que temos aqui é invulgarmente completo para um projeto comunitário. O software está escrito em Java, é distribuído com licença Apache 2.0 e o nosso primeiro ano para ele é 2004, o que o torna mais velho do que vários dos protocolos de identidade que hoje fala. A tutela cabe à Apereo Foundation, uma fundação e não uma empresa, e o modelo de governação explica parte do padrão de instalação. Adotar o código não custa nada, por isso o preço verdadeiro é o tempo do pessoal, e tempo do pessoal é uma coisa que uma universidade tem e uma pequena empresa não tem.

No nosso catálogo, a categoria é Authentication, e, para um investigador, esse rótulo fica aquém do que uma deteção significa. Um site que corre o seu próprio servidor de identidade em Java está a dizer-lhe que não comprou um produto de início de sessão alojado, que mantém uma equipa de operações e que qualquer fornecedor que lhe queira vender tem de se integrar numa federação já existente em vez de a substituir. Os investigadores de segurança leem o mesmo sinal ao contrário, porque uma porta de entrada operada pela própria instituição é tanto uma arquitetura como uma obrigação de aplicar correções, e vale a pena vigiar os domínios que a têm quando sai um aviso relevante.

Uma consulta por domínio indica se uma instituição o corre. A lista exportada indica quem mais o corre, que países e que sufixos de domínio se agrupam, e que organizações teriam de ser abordadas com uma proposta de integração e não com uma proposta de substituição. Construir isso a partir de consultas isoladas obrigaria a adivinhar primeiro o nome de máquina de todos os servidores de início de sessão da internet, o que não é bem um método de investigação, é mais um passatempo.