Websites herunterladen, die Clipboard.js nutzen

Über Clipboard.js

Nur sehr wenige Bibliotheken verraten, wofür eine Seite da ist. Clipboard.js tut es, denn es gibt nur einen einzigen Grund, die Bibliothek zu laden. Irgendwo auf einer solchen Seite steht eine Zeichenkette, die ein Besucher mitnehmen soll: ein API-Token, ein Gutscheincode, eine Wallet-Adresse, ein Empfehlungslink oder ein Konfigurationsblock, der anderswo eingefügt werden soll.

Zeno Rocha veröffentlichte die Bibliothek 2015, um die Flash-basierten Kopier-Widgets der vorherigen Ära abzulösen, und seitdem ist sie klein, frei von Abhängigkeiten und unter der Lizenz MIT geblieben. Das Designziel bestand darin, die Bibliothek so leichtgewichtig zu halten, dass niemand über ihre Einbindung diskutiert, und deshalb taucht sie auf Dokumentationsportalen, SaaS-Dashboards, Gutscheinportalen und Krypto-Websites in etwa gleichem Maße auf. Ihr Einsatz sagt nichts darüber aus, wie versiert das Team ist, aber recht viel über die Funktion der Seite.

Stand Oktober 2026 erfassen wir die Bibliothek auf 139.479 Domains. 59.702 davon verorten wir in den USA, und die Endung .com hat ein deutliches Übergewicht. Die Verteilung spiegelt eher wider, wer entwicklerorientierte Inhalte auf Englisch veröffentlicht, als irgendeine Eigenschaft, die einer JavaScript-Hilfsbibliothek dieser Größe innewohnt.

Die Versionsdaten fügen eine zweite Dimension hinzu. Wir können im Bestand 15 verschiedene Releases unterscheiden, und auf einem großen Teil der Websites findet sich die Version 2.0. Eine so kleine Bibliothek wird selten aktualisiert, sobald sie funktioniert. Die Versionsangabe auf einer Domain sagt daher weniger über die Maintainer aus und wirkt eher wie ein Zeitstempel dafür, wann das Frontend zuletzt neu gebaut wurde. Eine alte Version eines Kopierhelfers für die Zwischenablage ist für sich genommen nicht gefährlich, aber sie ist ein verlässliches Zeichen für eine Oberfläche, die lange niemand angefasst hat, und genau danach sucht eine Prüfung, wie aktuell die Software-Lieferkette ist.

Hier ist ein Vorbehalt angebracht. Wenn ein Build-Tool die Hilfsbibliothek in ein Anwendungs-Bundle kompiliert, verschwinden Dateiname und Versionsbanner, und wir können sie überhaupt nicht mehr sehen. Gezählt werden die Websites, die sie als erkennbare Datei laden, was den sichtbaren Bestand zu einfacheren, eher von Hand zusammengesetzten Frontends verschiebt und bedeutet, dass die tatsächliche Verbreitung größer ist als die angezeigte Zahl.

Um eine einzelne Website zu prüfen, reicht ein Blick in den Quelltext, ein Datensatz ist dafür nicht nötig. Die Liste klärt eine andere Frage: welche Gruppen von Websites kopierbare Werte anzeigen und wie sich diese Gruppen mit einem Land, einem Registrar, einer Endung oder dem restlichen Stack überschneiden. Anbieter von Entwickler-Tools finden damit Dokumentationsseiten, auf denen sich Werbung lohnt. Sicherheitsteams stellen damit einen Korpus von Seiten zusammen, auf denen ein kompromittiertes Skript direkt neben einem Geheimnis auf dem Bildschirm stünde. Keine der beiden Aufgaben lässt sich Domain für Domain erledigen.