Websites herunterladen, die FilePond nutzen

Über FilePond

Ein Upload-Feld ist ein kleiner Hinweis auf eine große Entscheidung. Hinter einer Seite, auf der Besucher eine Datei hochladen können, steht ein Kontosystem, ein Moderationsprozess oder Speicherplatz, der bezahlt werden muss, oder alle drei zugleich. Niemand baut einen Datei-Upload in eine reine Visitenkarten-Website ein.

FilePond ist die JavaScript-Bibliothek, die sich um den browserseitigen Teil dieser Aufgabe kümmert: Drag-and-Drop, Bildvorschau, clientseitige Validierung und Größenanpassung, die Übertragung großer Dateien in einzelnen Teilen und die Verwaltung der Warteschlange, wenn mehrere Dateien gleichzeitig hochgeladen werden. Die Bibliothek erschien 2018 unter der Lizenz MIT, ist an kein Framework gebunden und bringt offizielle Adapter für die gängigen Frontend-Frameworks mit, weshalb sie in Tech-Stacks auftaucht, die sonst wenig miteinander zu tun haben. Den serverseitigen Teil überlässt sie vollständig dem jeweiligen Entwicklerteam, daher verrät die Bibliothek selbst nichts darüber, wo die Dateien am Ende landen.

Die Erkennung einer solchen Komponente ist systematisch unvollständig, und der Grund verdient eine genaue Erklärung. Moderne Build-Tools bündeln Abhängigkeiten in den Anwendungscode, benennen Symbole um und entfernen die Dateinamen, an denen man die Bibliothek erkennen würde. Eine Website kann daher stark auf sie angewiesen sein, ohne in dem, was ein Crawler empfängt, eine erkennbare Spur zu hinterlassen. Wir erkennen nur den Teil der Websites, der sie als eigenständige Datei oder über einen öffentlichen CDN-Pfad lädt. Die tatsächliche Verbreitung liegt über der erfassten Zahl, und keine Methode, die auf Crawling beruht, kann diese Lücke schließen.

Trotzdem ist die Lücke kleiner als beim alternativen Messansatz. Downloadzahlen aus Paket-Registries zählen Build-Server, Mirrors und Continuous-Integration-Läufe statt Websites und können nicht zeigen, welche Live-Domains den Code tatsächlich an echte Besucher ausliefern. Unser Datensatz klärt eine andere, handfestere Frage: auf welchen produktiven Websites diese Upload-Komponente öffentlich ausgeliefert wird und was daneben läuft.

Stand Oktober 2026 sehen wir die Bibliothek auf 247 Websites im Einsatz. Für drei Zielgruppen ist der erkannte Bestand auf unterschiedliche Weise interessant. Anbieter von Upload-Infrastruktur, Bild-CDNs, Transcoding und Malware-Scans finden hier Websites, die Dateiverarbeitung bereits als Produktanforderung akzeptiert und die Speicher- oder Sicherheitsfrage möglicherweise noch nicht gelöst haben. Sicherheitsforscher interessiert der Bestand, weil ein öffentlicher Upload-Pfad eine Angriffsfläche darstellt, deren sichtbares Kennzeichen ein clientseitiger Uploader ist. Maintainer und ihre Sponsoren haben ein Interesse daran, weil ein Projekt unter freizügiger Lizenz kein Abrechnungssystem hat, mit dem sich Nutzer zählen ließen, und eine Liste produktiver Domains einer Verbreitungskennzahl so nahe kommt wie nichts anderes. In jedem dieser Fälle lässt sich der Eintrag für FilePond in der Kategorie JavaScript libraries am besten als Untergrenze mit gut verstandener Ursache lesen.