Mastodon-Instanzen rufen die für die Link-Vorschau nötigen Daten jeweils selbst vom zugehörigen Webserver ab. Dadurch entsteht nicht selten eine Anfragenflut mit DDoS-Charakter.

Die Link-Vorschau des dezentralen Mikroblogging-Dienstes Mastodon führt zu vorübergehender Überlastung von Webservern, wenn Nutzer mit hoher Reichweite im Fediverse einen neuen Inhalt von einer Webseite teilen, die über den jeweiligen Server bereitgestellt wird. Dieses Verhalten wurde in einem Bericht von ItÂ’s Foss News mit einem DDoS-Angriff verglichen.

Das auf Open-Source-Projekte spezialisierte News-Portal hat selbst mit ähnlichen Problemen zu kämpfen. Die Ursache liegt darin, dass die für die Link-Vorschau benötigten Inhalte nicht nur von einer einzelnen Mastodon-Instanz abgefragt werden. Stattdessen gibt es viele Instanzen, die mit der betreffenden Instanz verbunden sind und ebenfalls unmittelbar Anfragen für den Inhalt senden.

Die Intensität der Anfragenflut hängt unter anderem von der Anzahl der Follower des Mastodon-Accounts ab, der den Inhalt teilt. Je mehr Follower ein Nutzer hat, desto mehr Mastodon-Instanzen, bei denen diese Follower registriert sind, rufen die erforderlichen Informationen für die Link-Vorschau vom Webserver ab.

Ein Bericht von ItÂ’s Foss News weist darauf hin, dass der Server des Portals auch dann viele Anfragen erhält, wenn ein Beitrag auf anderen Plattformen stark verbreitet wird. Allerdings kommt es nur nach dem Teilen eines Beitrags auf Mastodon zu kurzen Ausfallzeiten. In diesen Momenten reagiert die Webseite für einige Sekunden nicht und zeigt einigen Besuchern den Fehler "504 Gateway Timeout" an. Diese Ausfallzeiten summieren sich pro Tag auf mehrere Minuten.

Der Sicherheitsforscher Chris Partridge hat bereits Ende 2022 auf dieses Problem hingewiesen und das Ausmaß des entstehenden Datenverkehrs anhand eines auf Mastodon geteilten Beitrags beispielhaft berechnet. Dabei stellte Partridge fest, dass ein einzelner Post-Request bei Mastodon innerhalb weniger Minuten 1.147 Get-Requests auf seinen Webserver zur Folge hatte. Obwohl der Post-Request nur 3 KByte groß war, summierten sich die Get-Requests auf insgesamt 114,7 MByte. Das ergibt eine Traffic-Verstärkung von 36.704:1 - mehr als genug, um schlecht angebundene Webseiten oder solche mit serverseitigem Rendering zu überlasten.

Dieses Problem ist bereits seit mehr als sechs Jahren bekannt, wie einem Github-Issue von August 2017 zu entnehmen ist. Ursprünglich sollte es mit Version 4.3.0 von Mastodon gelöst werden, aber die Lösung wurde erst kürzlich auf Version 4.4.0 verschoben. Der genaue Veröffentlichungszeitpunkt ist noch nicht bekannt.