Websites herunterladen, die jsDelivr nutzen

Über jsDelivr

Jedes Skript, das eine Seite von der Domain eines anderen lädt, ist ein kleiner Vertrauensakt, der bei jedem Seitenaufruf erneuert wird. jsDelivr ist eine der Domains, auf die sich dieses Vertrauen richtet, ein kostenloses öffentliches Auslieferungsnetz, das Pakete, Releases und Plugin-Assets für jede Seite bereitstellt, die darauf verlinken möchte.

Niemand kauft den Dienst, und das verändert, was eine Zählung bedeutet. Es gibt keinen Vertrag und kein Konto. Eine Website taucht hier also auf, weil ein Entwickler eine URL eingefügt hat oder, häufiger, weil ein Theme, ein Plugin oder eine Dokumentationsvorlage das vor Jahren getan hat und niemand die Entscheidung überdacht hat. Die Erkennung ist entsprechend direkt, denn das Ziel der Anfrage steht im Markup, das wir abrufen. Was die Erkennung nicht feststellen kann, ist, ob der Betreiber der Website weiß, dass diese Abhängigkeit besteht.

Stand Oktober 2026 verzeichnet die Datei 1.757.424 Websites mit Assets aus dem Netz. 834.689 davon verorten wir in den USA, und bei den Domains ist die Endung .com stark vertreten. Eine Größenordnung wie diese ist das ganze Sicherheitsargument. Ein öffentliches Netz, das auf so vielen Seiten auftaucht, ist Infrastruktur, und kostenlos bereitgestellte Infrastruktur ist Infrastruktur ohne Kundenbeziehung, auf die man zurückgreifen kann, wenn etwas schiefgeht.

Das Projekt läuft seit 2012 unter der Lizenz MIT, finanziert durch Sponsoring und verteilt auf mehrere kommerzielle Netze mit automatischem Failover. Die Offenheit ist eine echte Stärke und zugleich der Grund, warum ein Due-Diligence-Fragebogen danach fragt. Eine auf eine Version festgelegte URL ist reproduzierbar und verhält sich wie eine Abhängigkeit. Eine lose oder gar nicht festgelegte URL ist ein dauerhaftes Versprechen, dass alles, was der Maintainer als Nächstes veröffentlicht, in Ihren Seiten ausgeführt wird, mit den Sitzungen Ihrer Nutzer in Reichweite. Der technische Unterschied ist in einer booleschen Spalte unsichtbar, weshalb der rohe Verweis mehr zählt als das Flag.

Teams für Anwendungssicherheit wollen die Sicht auf den gesamten Bestand, weil ihre eigenen Inventare nur die Domains abdecken, an deren Besitz sie sich erinnern, und gerade bei zugekauften Marken und Kampagnen-Microsites sammeln sich fremde Ursprünge an. Anbieter von Lösungen für Subresource Integrity, Werkzeugen für Content Security Policies oder Dependency-Scanning suchen Interessenten, deren Seiten bereits über den eigenen Ursprung hinausgreifen. Paket-Maintainer wollen wissen, wo ihre Releases tatsächlich genutzt werden, was Downloadzahlen aus der Registry nie zeigen, denn eine Anfrage an ein Auslieferungsnetz ist keine Paketinstallation.

Die Grenzen sollte man offen benennen. Wir erfassen den Ursprung, auf den eine Seite verweist, und nicht, was zurückkam. Ein veralteter Link auf etwas, das längst entfernt wurde, zählt also weiterhin als Verweis. Assets, die erst später ein anderes Skript einfügt, können uns ganz entgehen. Ein Flag pro Website verbirgt außerdem die Tiefe, denn eine kleine Bibliothek auf einem Kontaktformular und eine komplette Anwendungshülle voller Abhängigkeiten sehen in einer Ja-oder-Nein-Spalte identisch aus, und das Risiko, das sie darstellen, ist nicht annähernd identisch.

Eine Abfrage pro Domain zeigt, ob eine Seite heute auf das Netz verweist. Der Download klärt die Fragen, die danach kommen: welche Branchen öffentliche Verweise der Kategorie CDN tragen, wie sich der Anteil verschoben hat, als Bundler zum Standard wurden, in welchen Hosting-Umgebungen und Ländern sich das Risiko ballt und welche Websites diesen Ursprung mit mehreren anderen auf derselben Seite kombinieren. Jede Zeile enthält Land, Endung und den übrigen erkannten Stack, sodass sich die Abhängigkeit von Dritten über einen ganzen Markt hinweg beziffern lässt, statt Hostname für Hostname Stichproben zu ziehen.