Descarregar sites que utilizam PostgreSQL

Sobre PostgreSQL

Uma base de dados devia ser invisível a partir do exterior. Nada num site bem construído deveria revelar a um estranho o que guarda os seus dados, e esse é o primeiro ponto a perceber sobre esta linha de um conjunto de dados de tecnologias. Detetar uma base de dados a partir da web pública significa que o site revelou alguma coisa que não tinha de revelar.

O PostgreSQL é desenvolvido desde 1989 em C e distribuído sob a PostgreSQL License, ou seja, é gratuito, sem marca comercial e instalado por quem o quiser, sem qualquer passo de registo em todo o processo. Não existe nenhum fornecedor a guardar uma lista de clientes. Em outubro de 2026 detetamos o produto em 31 072 sites, e a descrição honesta desse valor é que ele conta divulgações e não instalações.

As divulgações vêm de um punhado de lugares recorrentes. Interfaces de framework e de administração que nomeiam o seu backend, ferramentas de base de dados publicadas num subdomínio, mensagens de erro que escapam para uma resposta, bibliotecas de ligação declaradas numa página e pacotes de plataforma em que a pilha é documentada em vez de escondida. Cada um destes casos é uma fuga ou uma convenção, não um anúncio, e os sites que os produzem não são uma amostra aleatória dos sites que correm a base de dados.

O enviesamento segue uma direção que vale a pena nomear. Os parques com configuração cuidada não revelam nada, por isso a população visível pende para equipas mais pequenas, servidores geridos pelos próprios, ambientes de testes que nunca foram fechados e aplicações cuja pilha faz parte da descrição do produto. As instalações com bons recursos e gestão profissional são precisamente as que faltam na lista.

Nada disto torna a população inútil. Torna-a uma população específica com utilizações específicas. Quem vende alojamento gerido, cópias de segurança, monitorização ou serviços de migração procura instalações geridas pelos próprios e não frotas empresariais, e são precisamente as instalações geridas pelos próprios que um sinal baseado em divulgação encontra. Os investigadores de segurança querem as mesmas linhas pela razão oposta, porque uma pilha que nomeia a sua base de dados em público já costuma ter contado a um estranho várias outras coisas.

Nos Estados Unidos concentram-se 10 734 das deteções e a zona .com fica com boa parte do restante, o que reflete onde está o alojamento e não onde estão os programadores. A geografia do alojamento e a geografia dos programadores divergem mais nos componentes de infraestrutura do que em qualquer coisa virada para o utilizador, por isso o país deve ser lido aqui como um facto de residência dos dados e não como um facto de mercado.

A pergunta a que um descarregamento responde é a da coocorrência. Que frameworks, que servidores web, que fornecedores de alojamento e que países viajam com estas deteções, em toda a população e não numa amostra dela. Um domínio verificado à mão diz-lhe alguma coisa sobre um domínio. O ficheiro completo, reconstruído diariamente, permite traçar o perfil da própria fuga e depois decidir até onde está disposto a generalizar a partir dela, um juízo que lhe pertence a si e não a nós.