Descarregar sites que utilizam git

Sobre git

Ninguém escolhe o git como tecnologia de um site, o que é precisamente a razão para ler com atenção a sua presença num perfil tecnológico. Um sistema de controlo de versões pertence às máquinas de quem programa e aos servidores de compilação, não à raiz de documentos de um servidor web público. Quando uma análise encontra artefactos relacionados com git num site em funcionamento, a explicação habitual é que uma implementação copiou um repositório de trabalho para a pasta que o servidor web publica para o mundo.

Em outubro de 2026 registamos artefactos destes em 57 sites. A contagem é um limite inferior, e fica muito aquém do total. A deteção depende dos ficheiros estarem acessíveis por HTTP simples, por isso um servidor configurado para recusar pedidos a diretórios com ponto, uma regra de CDN que os bloqueie ou um processo de publicação que copie o resultado compilado em vez da árvore de trabalho mantêm todos um site fora da lista sem que a prática subjacente mude sequer. A população visível a um rastreador é o subconjunto que deixa escapar dados.

O que uma correspondência significa é concreto e útil. Os metadados de um repositório colocados numa raiz web pública podem expor o histórico de commits, os nomes das ramificações, os endereços dos autores, caminhos internos e, em algumas configurações, o próprio código-fonte da aplicação, incluindo ficheiros apagados em commits posteriores que sobrevivem no armazenamento de objetos. Para quem investiga segurança, a lista de domínios é um levantamento de uma má configuração bem conhecida em toda a web ativa. Para quem estuda práticas de publicação, a mesma lista é prova de como os sites são de facto colocados em produção, se por cópia de um diretório de trabalho, por um pull no servidor ou por um checkout dentro do caminho servido.

O relato de versões funciona aqui de forma diferente de tudo o que um produto alojado produz. O nosso registo contém 5 valores de versão distintos, sendo 2.45.2 o mais reportado. Uma cadeia de versão que nos chega descreve o cliente que escreveu os metadados expostos, e não um software que o operador do site tenha escolhido servir, por isso uma dispersão de valores num conjunto desta dimensão reflete sobretudo a idade de cada implementação e não uma política de atualizações.

O resto do que registamos é pano de fundo e não sinal. O programa é distribuído com licença GPL v2, tem como ano da primeira versão 2005 e está implementado em C, e nada disso varia entre os sites em causa, porque nenhum deles executa a ferramenta como serviço. A variação que importa está em quem deixou escapar os dados e no que a fuga contém.

Uma verificação por domínio responde a uma pergunta mais restrita, a de saber se um site pelo qual já é responsável está a expor dados de repositório. O conjunto de dados descarregável responde ao que uma consulta não alcança. Quão comum é a exposição num segmento, se se concentra por plataforma, por fornecedor de alojamento ou por país, e se uma dada base de clientes está em melhor estado do que a web à sua volta. Todas estas são perguntas de população, e as perguntas de população precisam da lista.