Descarregar sites que utilizam Kong

Sobre Kong

Um gateway de API é feito para não dar nas vistas. O Kong fica entre os clientes e os serviços que estão por trás deles, termina pedidos, verifica credenciais, conta chamadas e encaminha o que sobrevive, e uma instalação cuidadosamente configurada deixa muito poucos vestígios de si numa resposta. Uma lista de domínios onde o gateway é sequer visível é, por isso, uma lista de instalações que ou não quiseram esconder-se ou nunca foram afinadas para isso.

A superfície de observação conta tanto como a deteção. Os gateways residem normalmente num subdomínio api ou num nome de anfitrião interno, ao passo que um conjunto de dados de tecnologias web olha para o que um site público serve. Uma correspondência aqui significa em geral que o gateway está à frente do próprio site público, o que é um padrão de instalação diferente e menos comum do que o habitual, e tende a indicar uma equipa que colocou toda a sua camada de entrada atrás de um único componente na categoria Reverse proxies em vez de um proxy separado para o site.

Onde o gateway é visível, a implicação é organizacional e não cosmética. Uma equipa que põe o Kong à frente dos seus serviços tem interfaces que vale a pena governar, mais do que um backend e alguém cuja função inclui limites de taxa, autenticação e política de tráfego. Escrito em Lua sobre um núcleo de proxy já estabelecido, o gateway é escolhido por engenheiros de plataforma e não por quem escolheu o sistema de gestão de conteúdos, e costuma aparecer acompanhado de orquestração de contentores, de um registo de serviços e de um pipeline de implementação.

A licença Apache 2.0 explica boa parte da dispersão. A Kong Inc. publica um núcleo aberto que qualquer pessoa pode executar sem nunca falar com um comercial, a par de uma edição comercial e de um serviço gerido, por isso as instalações vão de um único contentor à frente de um projeto pessoal até um parque empresarial regulado. Lançado pela primeira vez em 2015, o gateway chegou exatamente no momento em que as arquiteturas de microsserviços se tornavam a opção por omissão, e boa parte do que detetamos pertence a sistemas desenhados nesse período.

É nos dados de versão que o quadro se torna incómodo para quem é responsável por um parque. Registamos 72 versões distintas em circulação, sendo 1.4.1 a que mais se repete, e um gateway alojado por conta própria não se atualiza sozinho. As compilações antigas continuam a servir tráfego porque funcionam, porque os plugins fixados a elas nunca foram testados de novo, ou porque o engenheiro que as instalou já saiu. Para investigação de segurança, a distribuição pelos domínios é mais útil do que qualquer total, já que um aviso de segurança cobre um intervalo de versões e não um nome de produto.

Em outubro de 2026 vemos o Kong em 5901 sites, e o número deve ser lido como um limite inferior. Os gateways que ficam atrás de uma rede de distribuição de conteúdos que reescreve cabeçalhos, ou que estão configurados para retirar respostas identificáveis, pura e simplesmente nunca aparecem. O que um extrato completo oferece para além de uma só consulta é a forma da população: que setores adotaram o gateway como norma, que parques o correm a par de um proxy concorrente, e que domínios continuam em versões cobertas por um determinado aviso. As equipas dos fornecedores usam listas destas para investigação de substituição, as equipas de segurança para mapear exposição, e os analistas para avaliar se um núcleo aberto se converteu de facto em infraestrutura paga.