Websites herunterladen, die History nutzen

Über History

Niemand entscheidet sich für die Bibliothek History so, wie man sich für ein Framework entscheidet. Auf die meisten Websites, auf denen sie läuft, gelangt sie als Abhängigkeit von etwas anderem: eingebunden von einem Router oder einem Build-Schritt und ausgeliefert in einem Bundle, das der Websitebetreiber nie geprüft hat. Wer ihren Einsatz als Vorliebe deutet, liegt falsch. Wer ihn als Fingerabdruck dafür liest, wie eine Seite gebaut wurde, liegt dagegen genau richtig.

Der Fingerabdruck verrät, dass die Seite eine clientseitig gerenderte Anwendung ist, die ihre Navigation selbst verwaltet. History ist dafür da, den Sitzungsverlauf des Browsers per Skript zu steuern, damit der Wechsel zwischen Ansichten Adressleiste und Zurück-Button aktualisiert, ohne dass die Seite komplett neu lädt. Wo die Bibliothek eingebunden ist, findet das Routing in JavaScript statt und nicht auf dem Server, was Folgen für alle hat, die eine solche Website crawlen, vermessen oder indexierbar machen wollen. Stand Oktober 2026 sehen wir History auf 447 Websites in unseren Listen der Kategorie Miscellaneous.

Gerade bei den Versionsdaten wird eine Abhängigkeit wie diese interessant. Wir zählen 6 verschiedene Versionen im Umlauf, und am häufigsten beobachten wir Version 4.7.2. Eine breite Versionsstreuung bei einer so kleinen Bibliothek deutet auf Bundles hin, die einmal gebaut und nie neu erstellt wurden, denn eine transitive Abhängigkeit ändert sich nur, wenn das übergeordnete Paket aktualisiert und die Website neu ausgerollt wird. Wer verfolgt, wie schnell reale Deployments Upstream-Releases übernehmen, findet in unscheinbaren Bibliotheken bessere Belege als in prominenten Frameworks, denn diese werden aus Gründen aktualisiert, die mit Abhängigkeitshygiene nichts zu tun haben.

Die Erkennung beruht hier auf Indizien und untergräbt sich selbst. Wir identifizieren die Bibliothek an Spuren, die das Bundling überstehen, und ein Build, der Namen unkenntlich macht oder Abhängigkeiten aggressiv einbettet, kann sie vollständig verbergen. Der Code steht unter der Lizenz BSD und wird über Paket-Registries verteilt, sodass es keine Telemetrie eines Anbieters gibt, an der wir unsere Zählung prüfen könnten. Die Liste lässt sich am besten als Untergrenze verstehen, nicht als Vollerhebung.

Auch eine Untergrenze ist nützlich, weil sie eine Liste ist und keine Einzelabfrage. Die Prüfung einer Domain zeigt, was ein Team ausgeliefert hat. Der Export zeigt, welche Teile des Bestands auf dieselbe Build-Herkunft zurückgehen. Damit kann ein Sicherheitsteam eingrenzen, wer von einem Sicherheitshinweis zu einem Versionsbereich betroffen sein könnte, ein Tool-Anbieter die Anwendungen finden, für die sein Produkt gedacht ist, und ein Analyst die Verbreitung von clientseitigem Routing über Marktsegmente hinweg vergleichen, statt sie aus Entwicklerumfragen zu erraten. Fragen zu Abhängigkeiten sind Fragen über einen Bestand, und aus Antworten zu einzelnen Domains lässt sich keine solche Antwort zusammensetzen.