PHP

Die Anwendung läuft weiter oder sie steht — dazwischen gibt es wenig. Ein Sprung auf eine neue Hauptversion entfernt Funktionen, die vorher nur eine Warnung erzeugt haben, und daran scheitern zuerst alte Erweiterungen. Verlässlich ist deshalb nicht die Ankündigung des Anbieters, sondern eine eigene Testumgebung mit derselben Version: Dort fällt der Fehler an einem Dienstagvormittag auf und nicht am Sonntagabend. Wer keine hat, sollte vor jedem Wechsel wenigstens eine Sicherung einspielen können.

Für eine gewöhnliche Firmenwebsite technisch wenig, wirtschaftlich einiges. Beide erzeugen Seiten auf dem Server schnell genug; der Unterschied liegt im Betrieb. PHP läuft auf praktisch jedem Standard-Hosting für wenige Euro im Monat, Node.js braucht einen Prozess, der dauerhaft läuft, und damit ein anderes Hosting-Modell. Die Wahl entscheidet also seltener die Technik als die Frage, wer die Anwendung später betreibt und wartet.

Wenn der Grund der Ruf der Sprache ist und nicht ein gemessenes Problem. Eine Anwendung, die auf einer gepflegten Version läuft, ihre Tests hat und deren Rahmenwerk aktiv entwickelt wird, gewinnt durch eine Neuentwicklung in einer anderen Sprache nichts außer Risiko. Ein Wechsel rechnet sich dort, wo eine fachliche Anforderung ihn erzwingt — etwa dauerhaft offene Verbindungen — nicht dort, wo eine Sprache unmodern wirkt.

An drei Zeichen, die sich ohne Codekenntnis prüfen lassen. Erstens: Niemand traut sich, etwas zu ändern, ohne den ganzen Ablauf von Hand nachzuspielen — das heißt, es gibt keine Tests. Zweitens: Eine Aktualisierung des Rahmenwerks steht seit mehr als zwei Hauptversionen aus. Drittens: Der ursprüngliche Entwickler ist die einzige Person, die erklären kann, warum etwas so gebaut ist.

Zuerst klären, ob sie überhaupt Sicherheitsrelevanz hat. Eine Bibliothek, die nur Datumsformate umrechnet, darf jahrelang stillstehen; eine, die Eingaben verarbeitet oder Verbindungen aufbaut, nicht. Für den zweiten Fall gibt es drei Wege: einen gepflegten Nachfolger einsetzen, die benötigte Funktion selbst übernehmen, oder die Bibliothek bewusst weiterpflegen. Nichts zu tun ist auch ein Weg, aber dann sollte er im Protokoll stehen und nicht im Vergessen.