Websites herunterladen, die crypto-js nutzen

Über crypto-js

Die Geografie dieser Bibliothek verdient als Erstes eine Erklärung, weil sie am ehesten missverstanden wird. Stand Oktober 2026 erfassen wir crypto-js auf 126.236 Websites, und 81.735 davon werden in Frankreich gehostet. Ein Kryptografie-Helfer hat keinen eigenen nationalen Charakter, und eine Konzentration dieser Größe spiegelt daher fast nie die Vorlieben von Entwicklern in einem einzelnen Markt wider. Eine Häufung in diesem Ausmaß bedeutet in der Regel, dass der Code gebündelt in etwas anderem ankommt: in einem Hosting-Control-Panel, einem vielfach genutzten Theme, einem Zahlungs-Widget oder einer Builder-Vorlage, die ein Anbieter mit großer regionaler Präsenz verteilt. Wer die Länderspalte als Indikator für Nachfrage liest, sollte sie stattdessen als Indikator für Vertriebswege lesen.

crypto-js wurde 2009 erstmals veröffentlicht, ist in JavaScript geschrieben, steht unter der Lizenz MIT und gehört zur Kategorie JavaScript libraries. Die Bibliothek stammt aus einer Zeit, bevor Browser eine brauchbare native Kryptografie-Schnittstelle boten, und deshalb ruft so viel Code sie noch immer zum Hashen, für symmetrische Verschlüsselung und für Kodierungsaufgaben auf, die die Plattform inzwischen selbst erledigt. Findet man die Bibliothek auf einer Seite, verrät das also mehr über das Alter des umgebenden Codes als über die Sicherheitslage der Website. Clientseitige Kryptografie wird zudem häufig falsch eingesetzt, und wer als Forscher nach Seiten sucht, die im Browser verschlüsseln und dem Ergebnis dann an anderer Stelle vertrauen, hat einen legitimen Grund, den gesamten Bestand haben zu wollen und nicht nur eine Handvoll Beispiele.

Die Versionsdaten sind hier ungewöhnlich ergiebig. Wir führen 21 verschiedene Versionsstrings, und am häufigsten erfassen wir Version 4.1.1. Die Versionsstreuung ist gerade bei dieser Bibliothek wichtig, weil ältere Releases dokumentierte Schwächen bei der Erzeugung von Zufallswerten aufweisen, und wenn eine Website auf einem alten Bundle festhängt, liegt das in der Regel daran, dass sich niemand mehr für diese Abhängigkeit zuständig fühlt. Ein Filter nach Version macht aus einer großen Liste eine viel kleinere, mit der sich tatsächlich arbeiten lässt, ob das Ziel nun eine Sicherheitsbenachrichtigung, das Verkaufsgespräch eines Anbieters oder eine Forschungsstichprobe ist.

Eine Abfrage pro Domain zeigt, ob eine einzelne Website die Bibliothek lädt. Unser Export klärt die umgekehrte Frage: Welche Websites nutzen die Bibliothek, in welchem Land, unter welcher Endung und in welcher Version? Mit einem Abfrage-Tool lässt sich das nicht erzeugen, weil eine Abfrage bei der Domain beginnt und wir bei der Technologie. Jede Zeile enthält die Domain, das Erkennungsdatum, das Land, die Top-Level-Domain und, sofern sichtbar, den Versionsstring, und erst das macht Filtern, Stichproben und Vergleiche über die Zeit überhaupt möglich.

Die Erkennung beruht auf Rückschlüssen und erfasst nicht alle Fälle. Wir identifizieren crypto-js am ausgelieferten Skript und an den Fingerabdrücken von Bundles, die die Bibliothek einbetten, sodass Websites, die den Code unter einem anderen Namen in ein Anwendungs-Bundle kompilieren, aus der Zählung herausfallen. Auch die Häufung bei der Endung .fr spiegelt nur die gewöhnliche Struktur des Registrierungsmarkts wider und nichts, was für diese Bibliothek spezifisch wäre. Die Zahl der Websites sollte man als Untergrenze lesen, nicht als Vollerhebung.