Descarregar sites que utilizam mod_wsgi

Sobre mod_wsgi

Os módulos de servidor são a parte de uma pilha que ninguém escolhe duas vezes. Um padrão de instalação é escolhido quando uma aplicação entra em produção pela primeira vez e depois sobrevive, em grande parte intocado, a anos de trabalho sobre funcionalidades, porque mudar o funcionamento do modelo de processos é um projeto com risco real e sem recompensa visível.

O mod_wsgi é essa decisão preservada. Lançado em 2007 e escrito em C, o módulo embute um interpretador de Python dentro do Apache ou corre a aplicação em processos daemon supervisionados pelo Apache, que foi a forma padrão de alojar uma aplicação web em Python durante um longo período. A licença Apache 2.0 e a ausência de uma empresa por trás do projeto fizeram com que se espalhasse por documentação e tutoriais e não por venda. As instalações mais recentes tendem a colocar antes um servidor de aplicações dedicado atrás de um proxy inverso, por isso encontrar o módulo hoje é um indicador razoável de que o servidor é anterior a essa mudança ou foi montado por alguém que aprendeu durante ela.

É nos dados de versão que a população se torna concreta. Vemos 59 versões distintas em circulação, com 5.0.0 a repetir-se mais do que qualquer outra compilação. Uma dispersão desta escala num único módulo do Apache não é rotatividade normal. Uma dispersão desta escala significa instalações fixadas por um pacote de sistema operativo, congeladas dentro de uma imagem de contentor construída há anos e nunca reconstruída, ou seguras no lugar por um ficheiro de dependências em que ninguém se atreve a tocar. Para quem acompanha a exposição, a distribuição de versões é a descoberta em si e não um detalhe agarrado a outra.

A deteção é inferencial e preferimos dizê-lo. O módulo anuncia-se num cabeçalho de servidor quando o administrador deixa a configuração por omissão em paz, e muitos administradores não deixam. Os servidores endurecidos removem ou reescrevem esse cabeçalho, um proxy inverso ou uma CDN à frente da origem costuma substituí-lo por completo, e em ambos os casos uma instalação perfeitamente saudável fica invisível a partir de fora. Em outubro de 2026 detetamos o mod_wsgi em 7386 sites, e cada um deles é um servidor que corre o módulo e anuncia o facto. A base instalada verdadeira é maior por um fator desconhecido, e qualquer análise que trate a contagem como completa vai subestimar o Python alojado em Apache.

A geografia segue a mesma lógica que a dispersão de versões.

A pergunta a que uma exportação responde é uma pergunta sobre uma população. Que servidores ainda correm este padrão, em que fornecedores, em que versões, ao lado de que frameworks e de que compilações do Apache. Os investigadores de segurança usam isso para delimitar a exposição, as consultoras de migração usam-no para encontrar parques que vale a pena modernizar, e os responsáveis por frameworks usam-no para decidir o que ainda tem de continuar a funcionar. Perguntar por um domínio isolado diz o que esse domínio utiliza. Perguntar à lista diz se uma descontinuação é uma nota de rodapé ou uma rutura para uma base instalada substancial.