Websites herunterladen, die Express nutzen

Über Express

Jede Zählung von Express im öffentlichen Web ist eine Untergrenze, und unsere bildet keine Ausnahme. Die Erkennung hängt davon ab, dass ein Server verrät, was auf ihm läuft. Eine Standardinstallation gibt sich in einem Response-Header zu erkennen, eine gehärtete entfernt diesen Header mit einer einzigen Konfigurationszeile, und ansonsten ist das Framework von außen unsichtbar. Am HTML muss sich nichts ändern. An der URL-Struktur muss sich nichts ändern. Die Websites, die wir bestätigen können, sind daher überproportional die, die nie eine Härtung durchlaufen haben.

Diese Verzerrung ist nützlich, sobald man von ihr weiß. Eine Domain, die ihr Framework preisgibt, läuft nahe an den Standardeinstellungen, was mit kleinen Teams, internen Tools, Prototypen, die stillschweigend in Produktion gegangen sind, und schnell ausliefernden Agenturen korreliert. Für Sicherheitsforscher ist genau dieser Bestand untersuchenswert, denn eine Standardkonfiguration bleibt selten bei einer einzigen Einstellung. Für alle, die Monitoring, Hosting, Fehlertracking oder Anwendungssicherheit verkaufen, ist eine zu niedrig gezählte Liste bestätigter Installationen immer noch eine Liste bestätigter Installationen, und jeder Eintrag ist ein laufender Dienst und keine statische Seite. Eine offen ausgewiesene Untergrenze mit bekannter Verzerrung ist mehr wert als eine scheinbar sichere Gesamtzahl, die aus Vermutungen zusammengesetzt ist.

Der Einsatz von Express verrät, wie das Backend aufgebaut ist, und das erfährt man selten. Die meisten Technologieerkennungen beschreiben, was im Browser geschieht. Eine Liste, die auf einem serverseitigen Signal der Kategorie Web frameworks beruht, führt Sie dagegen hinter die Kulissen. Eine Website mit diesem Framework hat einen Prozess, der am Laufen gehalten werden muss, einen Paketmanager, einen Abhängigkeitsbaum und ein Deployment, bei dem Code läuft, statt dass Dateien hochgeladen werden. Anwendungen mit einer Build-Pipeline, einem Webhook-Empfänger, einer API oder serverseitig gerenderten Seiten landen hier. Reine Visitenkarten-Websites in der Regel nicht.

Das Projekt wird von der OpenJS Foundation betreut, und der Code steht unter der Lizenz MIT, was viel zu seiner Verbreitung beigetragen hat. Seit 2010 frei nutzbar und so schlank, dass man den Code an einem Nachmittag lesen kann, wurde das Framework zu der Schicht, auf der andere Frameworks aufgebaut wurden, statt zu ihrem Konkurrenten. Eine Folge für die Forschung: Eine Erkennung bedeutet oft einen geerbten Stack statt einer direkten Wahl. Ein Team hat womöglich ein Werkzeug auf einer höheren Abstraktionsebene gewählt und den Header damit gleich mitbekommen, daher sollte eine Segmentierung dieses Signal immer mit allem kombinieren, was die Domain sonst noch preisgibt.

Stand Oktober 2026 erkennen wir das Framework auf 296.622 Websites. 172.326 davon verorten wir in den USA, und die Endung .com kehrt im gesamten Bestand immer wieder. Die Geografie zeigt hier, wo Server antworten, und Cloud-Regionen in einem Land hosten Anwendungen, deren Eigentümer in vielen anderen sitzen. Die Länderspalte ist daher zuerst eine Aussage über das Hosting und erst in zweiter Linie eine über den Markt. Die herunterladbare Liste ist der Teil, den eine Abfrage pro Domain nicht ersetzen kann. Wer eine Website prüft, erfährt, was auf dieser einen Website läuft. Der vollständige Bestand erlaubt dagegen Fragen wie diese: Welche dieser Domains nutzen außerdem einen Zahlungsanbieter, welche laufen über ein bestimmtes Auslieferungsnetzwerk, welche verwenden eine Endung, die auf einen nationalen Markt hindeutet, und wie verschiebt sich der Bestand zwischen den Exporten? Die Entwicklungsrichtung bleibt auch bei unvollständiger Zählung aussagekräftig, selbst wenn die absolute Zahl es nicht ist, und meist ist genau die Richtung die Frage, um die es geht.