Websites herunterladen, die cdnjs nutzen

Über cdnjs

Fast niemand entscheidet sich für cdnjs. Es kommt mit einem Theme, einem Template oder einem Tutorial, das jemand kopiert hat, und es bleibt, weil man zum Entfernen verstehen müsste, was alles davon abhängt. Stand Oktober 2026 erkennen wir es auf 2.136.437 Websites, und die meisten Betreiber dieser Websites könnten es nicht benennen.

Gerade dieser geerbte Charakter macht es aufschlussreich. Eine Abhängigkeit, die niemand ausgewählt hat, ist eine Abhängigkeit, die niemand pflegt, und so kennzeichnet ihr Einsatz Websites, die aus vorhandenen Teilen zusammengesetzt und nicht bewusst gebaut wurden. Zusammen mit dem übrigen Frontend-Stack betrachtet, hilft cdnjs, Websites, die konstruiert wurden, von solchen zu unterscheiden, die konfiguriert wurden.

Es gibt eine zweite Lesart, die schwerer wiegt. Bibliotheken von einem fremden Server zu laden ist eine Entscheidung über die Lieferkette, ob sie damals jemand als solche erkannt hat oder nicht. Jede Website in diesem Bestand führt Code aus, der von einer Infrastruktur ausgeliefert wird, auf die sie keinen Einfluss hat, und die Sicherheitsfolgen davon sind gut dokumentiert. Für alle, die Drittanbieterrisiken über ein Portfolio hinweg bewerten, ist dieser Bestand die Ausgangsliste.

Der Server gehört hier zu einem großen CDN, was die Risikoabwägung verschiebt, den strukturellen Einwand aber nicht aufhebt. Die Abhängigkeit ist extern, sie ist in der Seite auf eine bestimmte Version festgelegt, und der Betreiber der Website hat keinen Mechanismus, der ihm meldet, wenn diese Festlegung nicht mehr angemessen ist.

810.381 der erkannten Websites verorten wir in den USA, und bei den Endungen liegt .com vorn, was in beiden Fällen eher das Alter und die Herkunft der Templates widerspiegelt, die cdnjs mitbrachten, als eine regionale Vorliebe.

Die praktische Abfrage dreht sich fast immer um Kombinationen. Welche Websites laden Bibliotheken von einem externen Server, setzen zugleich Zahlungstools ein, gehören außerdem zu einer regulierten Branche und zeigen obendrein keine Spuren aktueller Wartung? Das Ergebnis ist eine Kandidatenliste für Lieferkettenrisiken. Sie entsteht, indem man vier Filter auf den vollständigen Bestand anwendet, und keine Einzelabfrage kann sie liefern.

Der Export von webatla liefert diese Filter günstig: Alle Treffer einer Domain stehen in einer Zeile, die Datei wird täglich neu erstellt, und gefiltert wird auf Ihrem eigenen Rechner.

Die Festlegung auf eine Version verdient einen genaueren Blick, denn gerade dort liegt das praktische Risiko. Eine Seite, die eine bestimmte Version von einem externen Server anfordert, fordert sie auf unbestimmte Zeit weiter an, auch lange nachdem diese Version bekannte Probleme hat. Innerhalb der Website fällt das niemandem auf, weil nichts darüber wacht, und der Betreiber hat keinen Mechanismus, der die Frage jemals aufwerfen würde.

So entsteht ein messbarer Bestand von Websites, die veralteten Code von Dritten ausführen, ohne dass jemand für einen Upgrade-Pfad zuständig wäre. Für Sicherheitsanbieter, Auditoren und Versicherer sind Größe und Zusammensetzung dieses Bestands eine wirklich nützliche Kennzahl, und das CDN selbst könnte sie nicht veröffentlichen, selbst wenn es wollte, denn es sieht Anfragen und nicht die Websites dahinter.

Betrieben wird der Dienst vom Anbieter Cloudflare, veröffentlicht ist er unter der Lizenz MIT, und verfügbar ist er seit 2011. Kostenlose öffentliche Infrastruktur dieser Art erzeugt nie eine Nutzerliste, weil es zwischen der Website und dem Dienst weder ein Konto noch eine Registrierung gibt.