Websites herunterladen, die jQuery CDN nutzen

Über jQuery CDN

jQuery CDN ist keine Bibliothek, und wer den Eintrag so behandelt, als wäre er eine, landet direkt beim falschen Schluss. Der Eintrag beschreibt eine Kante in einem Graphen: eine Seite, die ein Skript aus einem Auslieferungsnetz lädt, das jemand anderes betreibt. Der Code, der dort ankommt, ist jQuery. Der Befund betrifft die Frage, woher der Code kommt.

Eine Website, die eine eigene Kopie hostet, und eine Website, die dieselbe Datei aus einem öffentlichen Netz lädt, führen identischen Code aus und tragen doch völlig unterschiedliche Risiken. Die zweite hat einem Dritten die Möglichkeit eingeräumt, ausführbaren Code in ihre Seiten auszuliefern. Sie hat eine DNS-Abfrage und eine Verbindung zu einem fremden Host, auf den sie keinen Einfluss hat, in den Renderpfad gelegt, und sie hat ihre eigene Verfügbarkeit teilweise von der Betriebszeit eines anderen abhängig gemacht. Die Bibliothek liegt in der Obhut der Organisation OpenJS Foundation und steht unter der Lizenz MIT. Das Auslieferungsmuster gibt es etwa seit 2006, und es ist damit so alt, dass sehr viele dieser Tags entstanden, bevor irgendjemand routinemäßig an Subresource Integrity dachte.

Stand Oktober 2026 erfassen wir das Muster auf 779.779 Websites und führen es in der Kategorie CDN. 274.324 davon werden in den USA gehostet, und die Endung .com trägt einen Großteil des Volumens, eine Verteilung, die eher widerspiegelt, wo die Tutorials und kopierten Code-Schnipsel jener Zeit kursierten, als irgendeine technische Notwendigkeit, denn die Datei ist klein, und sie lokal auszuliefern war nie schwierig.

Die Zielgruppe für eine solche Liste ist ungewöhnlich klar umrissen. Teams für Supply-Chain-Sicherheit wollen jede Website kennen, die Code von einem Ursprung ausführt, auf den ihr Betreiber keinen Einfluss hat, denn das Ausfallszenario eines Auslieferungsnetzes ist ein einziges ausgetauschtes Skript, das auf einen Schlag eine enorme Zahl von Seiten erreicht. Wer an Content Security Policies arbeitet, braucht dasselbe Inventar, weil jedes dieser Tags in irgendeiner Policy ein erlaubter externer Ursprung ist und damit ein Argument, das der Autor der Policy verteidigen muss. Performance-Berater wollen die Liste, weil sich ein Cross-Origin-Abruf im Renderpfad nicht mehr lohnt, seit Browser ihre Caches partitionieren, und die alte Begründung, Besucher hätten die Datei schon von einer anderen Website im Cache, nicht mehr greift.

Keine dieser Fragen lässt sich Domain für Domain beantworten. Eine Einzelabfrage zeigt Ihnen, dass eine bestimmte Seite auf ein Auslieferungsnetz verweist, was der Inspektor im Browser schneller und kostenlos gezeigt hätte. Die herunterladbare Liste beantwortet die Frage im Aggregat: wie viele Websites von einem bestimmten fremden Ursprung abhängen, wie sich diese Abhängigkeit auf Länder und Domain-Endungen verteilt und welche anderen Technologien mit ihr zusammen auftreten. Erst das macht aus einer Kuriosität ein Risikoregister, ein Policy-Audit oder eine Marktschätzung.

Die Grenzen sollte man offen benennen. Mehrere Netze liefern dieselbe Bibliothek aus. Ein einzelnes Label zeigt also, ob eine Seite die Bibliothek aus einem öffentlichen Netz lädt, nicht aber, welches Netz sie gewählt hat, solange im Export kein feineres Feld auftaucht. Tags, die ein anderes Skript erst zur Laufzeit einfügt, können einem Crawler entgehen, der nicht alles ausführt, was ein vollständiger Browser ausführen würde, und das drückt die Zahl nach unten. Und eine Seite kann auf einen Ursprung verweisen, den kein Besucher je erreicht, weil das Tag in einem Template-Pfad steckt, den niemand lädt. Der Eintrag beschreibt also, was eine Seite über sich selbst angibt, und nicht unbedingt, was eine echte Sitzung tatsächlich abruft.