Websites herunterladen, die Hogan.js nutzen

Über Hogan.js

Template-Engines bleiben in einem Technologieprofil meist unsichtbar, weil sie ihre Arbeit beim Build erledigen und in der ausgelieferten Seite nichts hinterlassen. Hogan.js ist eine Ausnahme, die einen genauen Blick lohnt. Der Compiler verwandelt Mustache-Templates in einfache JavaScript-Funktionen, und die nötige Laufzeitumgebung ist so klein, dass Projekte sie in ihren eigenen Bundles mitliefern, statt sie aus einer gemeinsamen Quelle zu laden.

Die Bibliothek stammt von Twitter, steht unter der Lizenz Apache 2.0, und als frühestes Jahr verzeichnen unsere Daten 2011. Ein Release dieses Jahrgangs ist älter als die Komponenten-Frameworks, die heute die Frontend-Entwicklung prägen, und eine Website, die es noch ausliefert, nutzt also entweder Code aus jener Zeit oder hängt von einem Paket ab, das seitdem nicht neu gebaut wurde.

Für eine Bibliothek in dieser Lage spielt die Herkunft eine Rolle. Code, den ein großer Plattformkonzern veröffentlicht, verbreitet sich in der Regel eher über das Ökosystem als über seinen Urheber: Andere Teams mit demselben Problem greifen ihn auf und betten ihn in die Tools ein, die sie ihrerseits weitergeben. Ein logikfreies Template-Format ist zudem bewusst portabel angelegt, sodass ein Template auf dem Server und im Browser identisch gerendert wird, und genau diese Portabilität sorgt dafür, dass eine Bibliothek in das Produkt eines anderen gebündelt wird, statt wegen ihrer eigenen Vorzüge ausgewählt zu werden.

Die Versionsdaten stützen die zweite Lesart. Auf den Websites, auf denen wir die Bibliothek erkennen, zählen wir 5 verschiedene Versionen, eine geringe Streuung für eine Bibliothek, die schon so lange im Umlauf ist, und Version 3 taucht immer wieder auf. Bei aktiv gepflegten Bibliotheken fächern sich die Versionen dagegen auf, weil jedes Projekt nach eigenem Zeitplan aktualisiert und alte Releases jahrelang im Umlauf bleiben. Eine schmale, sich wiederholende Streuung deutet in die andere Richtung: Der Code kommt vorverpackt in etwas, das eine Website aus einem anderen Grund installiert hat, etwa in einem Widget, einem gekauften Theme oder dem SDK eines Anbieters, und niemand hatte Anlass, ihn zu aktualisieren.

Für die Recherche verändert das, welche Frage die Daten beantworten können. Wer die Verbreitung von Frameworks verfolgt, für den ist eine kompilierte Template-Engine ein schwaches Signal, weil ein Build-Schritt sie vollständig verbergen kann und die Websites, die sie doch zeigen, oft eher die Abhängigkeit eines Dritten offenlegen als eine eigene Entscheidung. Wer dagegen Abhängigkeitsarchäologie betreibt, für den ist genau diese Eigenschaft der Kern der Sache. Eine Seite, die diese Datei noch ausliefert, hat Frontend-Assets mit datierbarem Alter, und genau dieses Alter wollen Sicherheitsteams, Due-Diligence-Teams bei Übernahmen und Modernisierungsberatungen in der Regel feststellen.

Stand Oktober 2026 schlägt der Fingerabdruck auf 31 Websites an. Zahlen dieser Größenordnung gehören eher an das untere Ende der Spanne als an das obere, denn Minifizierung, Bundling und Umbenennung entziehen die Bibliothek dem Blick, ohne sie aus der Seite zu entfernen. Was eine Liste zum Download einer Einzelabfrage voraushat, ist die Möglichkeit, rückwärts zu arbeiten. Statt zu fragen, was eine bekannte Website einsetzt, können Sie den gesamten Bestand nehmen, ihn mit den Widgets und Themes abgleichen, die Sie bereits verfolgen, und herausfinden, welches Upstream-Paket unbemerkt eine alternde JavaScript-Abhängigkeit auf jede Website bringt, die es installiert.