Descarregar sites que utilizam mod_ssl

Sobre mod_ssl

O mod_ssl não é algo que um site escolha. O módulo faz parte da forma como o Apache HTTP Server fala TLS, compilado nele ou carregado por quem configurou a máquina, e o dono do site que está por cima costuma não fazer ideia de que o nome existe. O que faz dele um sinal de outro tipo, diferente de um plugin ou de uma plataforma, e em certos aspetos mais honesto, porque ninguém o adotou por razões de marketing.

Mantido pela Apache Software Foundation e distribuído com licença Apache 2.0, o módulo remonta a 1998, quando a criptografia forte para a web era ainda um acrescento e não uma opção por omissão. Escrito em C sobre o OpenSSL, o mod_ssl dá ao Apache o tratamento de certificados, a configuração de cifras e a negociação de protocolo. É na categoria Web server extensions que o arrumamos, ainda que o seu papel real seja de infraestrutura.

Em outubro de 2026 detetamos 20 342 sites a reportá-lo, e o retrato das versões é a parte que vale a pena estudar. Registamos 2.2.34 como a cadeia de versão principal e contamos 76 valores distintos em toda a população. Uma versão de um ramo que o projeto de origem retirou há muito, ainda presente numa parte substancial da base, muda a leitura de tudo o resto. Compilações de servidor de vida longa não significam automaticamente criptografia fraca, porque os fornecedores de distribuições retroportam correções de segurança sem mexer no número de versão, e uma máquina que reporta uma cadeia antiga pode estar inteiramente atualizada por baixo. Mas uma dispersão por tantas cadeias distintas diz que a população não é gerida centralmente e que o estado das correções tem de ser inferido e não assumido.

A repartição por país é a segunda coisa que salta à vista. No Japão concentram-se 3576 dos sites detetados, uma distribuição que se afasta do padrão que a maior parte dos dados de tecnologia deste catálogo segue. Uma grande indústria nacional de alojamento a correr o seu próprio equipamento, tempos de serviço longos e ciclos de atualização conservadores empurram todos na mesma direção, e o resultado é um parque nacional de servidores que se mantém visível durante anos depois de outros mercados se terem abrigado atrás de plataformas geridas.

Tudo o que está acima assenta numa escolha de configuração, e é essa a ressalva que mais conta. O Apache nomeia os seus módulos no cabeçalho de resposta apenas quando o administrador deixa a definição de tokens do servidor em modo verboso, e muitíssimos operadores reduzem-na ao nome do produto ou removem o cabeçalho por completo num proxy. Todos os servidores endurecidos, todos os sites atrás de uma CDN que reescreve os seus cabeçalhos e todas as distribuições cuja configuração por omissão é silenciosa são invisíveis a um rastreio deste tipo. A população que reportamos não é por isso a população de instalações TLS do Apache, é o subconjunto que ainda se anuncia, que tende a ser mais antigo, menos servido por proxies e menos endurecido do que o todo. Dito de forma simples, isto fica aquém, e não fica aquém de forma aleatória.

E é exatamente por isso que o ficheiro conta mais do que uma consulta. Saber que um servidor anuncia uma dada versão do módulo responde a uma questão de suporte. Ter toda a população detetada num extrato descarregável, ligada ao país, ao sufixo de domínio e ao resto da pilha, responde antes a questões de investigação. Como envelhecem os parques de servidores, onde persistem os ramos retirados, que mercados de alojamento mantêm em serviço infraestrutura de vida longa e a que segmentos deve ser vendido um produto de gestão de correções, de rastreio ou de migração. Perguntas com esta forma precisam da lista inteira de uma vez, e precisam dela como um ficheiro que se possa filtrar por conta própria.