Websites herunterladen, die Handlebars nutzen

Über Handlebars

Der Name ist ein Witz über Satzzeichen. Handlebars erweitert Mustache, eine Template-Syntax, die nach den geschweiften Klammern um ihre Tags benannt ist, die wie ein seitlich liegender Schnurrbart aussehen. Der Fork benannte sich nach der schickeren Bartform, dem Lenkerschnurrbart, englisch „handlebar moustache“. Hinter dem Witz verbirgt sich, dass kaum eine der Websites mit Handlebars die Engine selbst gewählt hat. Eine Template-Engine ist eine Abhängigkeit anderer Software, eingebunden von einem Framework, einer Komponentenbibliothek, einem Analytics-Widget oder einem gekauften Theme, und sie landet in ausgelieferten Seiten, weil eine Schicht darüber einen Weg brauchte, Daten in Markup zu verwandeln. Der Fingerabdruck sagt etwas darüber aus, wie eine Website zusammengesetzt wurde, und nicht darüber, was ihre Entwickler bevorzugten.

Stand Oktober 2026 erkennen wir die Bibliothek auf 54.548 Websites. Sie erschien 2010 unter der Lizenz MIT, ist in JavaScript geschrieben und gehört zu der Generation von Tools, die das Rendering-Problem lösten, bevor Frameworks diese Aufgabe übernahmen. Überlebt hat sie, weil ihre Syntax leicht zu lesen, leicht einzubetten und so stabil ist, dass ein Upgrade niemandem einen sichtbaren Vorteil bringt.

An den Versionsdaten zeigt sich, warum dieser Eintrag in einen Datensatz gehört. Wir erfassen 32 verschiedene Releases im Umlauf, und am häufigsten sehen wir Version 4.0.5, die deutlich älter ist als die meisten aktuellen Frontend-Tools. Eine so breite Streuung bei einer einzigen kleinen Bibliothek ist nicht die Handschrift von Teams, die den Upstream-Releases folgen. So eine Streuung entsteht, wenn eine Version in dem Moment eingefroren wird, in dem ein Theme verkauft, ein Plugin veröffentlicht oder ein Build zuletzt ausgeführt wird, und dann unverändert an jede Website geht, die das Paket danach installiert.

Für die Sicherheitsforschung ist die Versionsspalte das Entscheidende. Ältere Releases der Engine haben dokumentierte Probleme rund um die Template-Kompilierung und den Umgang mit Prototypen, und ob eine bestimmte Website betroffen ist, hängt ganz davon ab, auf welchem Release sie eingefroren ist. Eine Liste der Domains, auf denen die Bibliothek läuft, ist mäßig interessant. Eine Liste der Domains, auf denen sie in einem bekannten Release läuft, ist ein Ziel für eine Sicherheitsbewertung, und erst das Versionsfeld macht aus dem einen das andere.

Die Verbreitung verhält sich wie die einer Abhängigkeit, nicht wie die eines Produkts. Die Länderspalte verortet 34.644 Websites in den USA, und bei den Endungen liegt der Schwerpunkt auf .com, was die Reichweite der Pakete widerspiegelt, in denen die Engine gebündelt ist, und keine regionale Vorliebe für sie.

Die Zahl sollte man als Untergrenze lesen, und der Grund ist mechanisch. Wird die Engine während eines Builds in ein Bundle kompiliert, geht die erkennbare Laufzeitkomponente oft in minifiziertem Code auf, sodass die Erkennung ausgerechnet bei den Websites scheitert, die die Engine am diszipliniertesten einsetzen. Sichtbare Installationen finden sich eher auf Seiten, die die Bibliothek als separate Datei laden, was bedeutet, dass der messbare Bestand älter und einfacher ist als der tatsächliche. Mit diesem Vorbehalt liefert der Auszug dennoch, was eine Abfrage pro Domain nicht leisten kann. Die Frage nach einer einzelnen Adresse ergibt ein Ja oder ein Nein. Der herunterladbare Datensatz liefert die Versionsverteilung über den gesamten erkannten Bestand, filterbar nach Land, Endung und mitinstallierter Software, und genau das brauchen Abhängigkeitsforschung, Schwachstellen-Triage und Ökosystemanalysen tatsächlich.