Websites herunterladen, die Microsoft Ajax Content Delivery Network nutzen

Über Microsoft Ajax Content Delivery Network

Der Name verspricht ein Content Delivery Network, und das klingt nach etwas, das ein Websitebetreiber gekauft hat. Gekauft wurde hier jedoch nie etwas. Eine Bibliothek von diesen Adressen zu laden, kostete nichts und verpflichtete niemanden zu irgendetwas. Deshalb verbreiteten sich die Tags so leicht, und deshalb gerieten sie danach in Vergessenheit.

Microsoft Ajax Content Delivery Network ist ein Dienst des Anbieters Microsoft aus der Kategorie CDN. Er liefert gängige Browser-Bibliotheken über einen festen Satz von URLs aus. Ein Entwickler fügte ein Skript-Tag ein, das auf den Dienst verwies, der Browser des Besuchers holte eine Kopie von jQuery oder einer Validierungsbibliothek von Microsoft-Servern statt von den Servern der Website selbst, und der Verweis blieb im Template, solange es dieses Template gab. Der Dienst stammt aus dem Jahr 2010 und steht unter der Lizenz Proprietary, was bedeutet, dass die Endpunkte nach Ermessen des Betreibers bestehen und nicht aufgrund einer Garantie durch eine Community.

Findet sich ein Verweis auf den Dienst auf einer Seite, die im Oktober 2026 gecrawlt wurde, ist das vor allem ein Hinweis auf ihr Alter. Gemeinsam genutzte Bibliotheken von einem öffentlichen Endpunkt zu laden, war sinnvoll, solange Browser einen einzigen Cache für alle Websites führten und ein Besucher die Datei womöglich schon von anderswo heruntergeladen hatte. Mit der Cache-Partitionierung fiel dieses Argument weg, und aktuelle Projekte bündeln ihre Abhängigkeiten stattdessen selbst. Eine Seite, die noch auf diesen Endpunkt verweist, hat in der Regel ein Frontend, das in einer früheren Ära zusammengestellt und nie neu gebaut wurde. In der Praxis geht sie mit einem älteren Microsoft-Server-Stack, älteren Markup-Konventionen und einem mitgealterten Design einher.

Eine solche Liste richtet sich an alle, deren Produkt Modernisierung heißt. Agenturen, die Relaunches anbieten, Anbieter von Frontend-Tools und Beratungen, die die Migration veralteter Anwendungs-Stacks verkaufen, wollen alle den vollständigen Bestand statt einzelner Beispiele. Auch Sicherheits- und Risikoteams wollen ihn, allerdings aus einem anderen Grund. Ein externes Skript-Tag ist eine Ausführungsabhängigkeit von Infrastruktur, die jemand anderes steuert, und ein Verweis, der nicht mehr aufgelöst wird, macht eine Seite still und leise kaputt, und zwar an Stellen, die niemand auf der Website überwacht.

Stand Oktober 2026 erkennen wir den Verweis auf 22.848 Websites. 11.117 davon werden in den USA gehostet, und die Endung .com kommt häufiger vor als jede andere. Eine Konzentration auf einen Markt ist genau das, was man bei einem Stack erwartet, der über Entwicklungswerkzeuge für Unternehmen statt über Open-Source-Communities übernommen wurde. Allerdings ziehen auch Hosting und Registrierung die Länderspalte in Richtung großer Anbieter.

Die Erkennung beruht auf einem direkten Abgleich der Skript-URL im ausgelieferten HTML, was sie zuverlässig macht, wenn das Tag vorhanden ist, und blind, wenn es fehlt. Eine Seite, die das Tag erst später aus ihrem eigenen Bundle einfügt, taucht nicht auf, ebenso wenig eine Website, deren einzige solche Seite wir nicht gecrawlt haben. Für diesen Eintrag ist keine Implementierungssprache hinterlegt, weil es nichts zu hinterlegen gibt. Der Eintrag beschreibt einen Hosting-Endpunkt und keine Codebasis, und die Websites, die ihn nutzen, sind in der Sprache ihres jeweils eigenen Stacks geschrieben.

Eine Einzelabfrage pro Domain zeigt Ihnen, dass eine bestimmte Website noch auf den Endpunkt verweist. Die herunterladbare Liste zeigt, wie groß der verbleibende Bestand ist, wo er sich befindet und was diese Seiten sonst noch enthalten. Genau darin liegt der Unterschied zwischen einer Beobachtung und einer Kampagne, die man systematisch abarbeiten kann.