Descarregar sites que utilizam Flyspray

Sobre Flyspray

O acompanhamento de erros passou para subscrições alojadas de forma tão completa que encontrar hoje um sistema instalado pela própria equipa num servidor web público diz alguma coisa sobre quem o pôs lá. O Flyspray pertence ao hábito mais antigo. Escrito em PHP e distribuído com licença LGPL, o projeto data de 2004, numa altura em que uma equipa pequena que queria gestão de incidentes costumava descompactar uma no mesmo servidor onde estava o trabalho que ia acompanhar.

Um gestor de incidentes é uma ferramenta interna, o que é precisamente o que torna interessante encontrá-lo virado para a internet aberta. Ninguém faz marketing com um gestor de erros e ninguém compra tráfego para um. Quando o Flyspray responde num nome de anfitrião, a razão costuma ser que um projeto deixou deliberadamente o seu fluxo de trabalho aberto a contribuidores externos, ou que um administrador se esqueceu de que um subdomínio continuava a resolver. Duas leituras muito diferentes, e só uma lista completa permite distingui-las.

A licença explica parte do padrão. Distribuído com licença LGPL, o Flyspray podia ser colocado na infraestrutura da própria empresa sem uma nota de encomenda, sem um período experimental e sem uma conversa com um comercial, que é exatamente a razão pela qual as instalações de software como este acabam sem qualquer registo interno. Ninguém nas compras sabe que o gestor de erros existe, e quando alguém pergunta, a pessoa que o instalou já saiu, na maior parte dos casos.

Em outubro de 2026 detetamos o Flyspray em 1 site. Um valor tão pequeno merece ser dito com simplicidade em vez de enfeitado, e merece uma ressalva ao lado. A deteção assenta na marcação e nos caminhos de recursos que a aplicação emite, por isso uma instalação atrás de uma barreira de autenticação, de uma lista de endereços autorizados ou de um proxy inverso que reescreva esses caminhos nunca aparecerá. O valor é um limite inferior e não um recenseamento.

Para um investigador o valor não está em nenhum nome de anfitrião isolado mas na forma do conjunto inteiro. Uma equipa de segurança à procura de aplicações PHP desatualizadas quer num único ficheiro todos os servidores que correm um gestor de incidentes desta safra, porque o risco está nas instalações de que ninguém se lembra de ter feito. Um responsável de manutenção que estude como envelhece a infraestrutura de um projeto quer o mesmo ficheiro pela razão oposta, como prova daquilo que sobrevive quando a moda passa. Nenhuma verificação domínio a domínio responde a qualquer das perguntas, porque ambas são perguntas sobre uma população.

Uma consulta por domínio diz se um determinado site corre o Flyspray. A lista descarregável diz quem ainda o corre de todo, que é a única versão da pergunta que vale a pena fazer sobre software tão antigo.