Websites herunterladen, die Rayo nutzen

Über Rayo

Ein kurzes, gut aussprechbares Wort gehört selten lange nur einem Projekt, und hinter Rayo stehen mindestens zwei Identitäten. Entwickler kennen den Namen von einer minimalen HTTP-Schicht für Node.js, die auf reinen Durchsatz bei Anfragen ausgelegt ist, während die Website, die zu diesem Eintrag erfasst ist, auf einer iranischen Länder-Domain liegt und zu etwas anderem gehört. Unsere Erkennung gleicht einen Fingerabdruck ab, der in Markup, Headern oder gebündelten Skripten zurückbleibt, nie eine Unternehmensidentität. Die Zahl hier sollte man deshalb als Seiten lesen, die diesen Fingerabdruck tragen, und nicht als bestätigte Installationen eines bestimmten Projekts mit diesem Namen.

Die Mehrdeutigkeit wiegt hier schwerer als bei einer gehosteten Plattform, denn serverseitige Frameworks sind von außen nahezu unsichtbar. Ein in JavaScript geschriebenes Framework erledigt seine Arbeit, bevor auch nur ein Byte den Browser erreicht, und was davon in der Antwort übrig bleibt, ist Zufall: ein Header, den niemand entfernt hat, eine Standard-Fehlerseite, eine Pfadkonvention, ein generierter Asset-Name. Stand Oktober 2026 erkennen wir Rayo auf 40 Websites, und die Zahl ist eine Untergrenze, keine Schätzung. Jede Installation hinter einem Reverse Proxy, einer Caching-Schicht oder einer aufgeräumten Produktivkonfiguration verschwindet aus dem Blickfeld.

Was der Eintrag immerhin stützt, ist eine Art Herkunftsnachweis. Das Projekt steht unter der Lizenz MIT und stammt aus dem Jahr 2018, was es in die Welle kleiner Serverbibliotheken mit wenigen Abhängigkeiten einordnet, die auf die Reifung des Node-Ökosystems folgte. Eine so freizügige Lizenzierung lässt die kommerzielle Spur verschwinden, der ein Forscher sonst folgen würde, denn niemand unterschreibt einen Vertrag, um die Software zu nutzen, und kein Anbieter veröffentlicht eine Kundenliste. Belege für die Verbreitung müssen aus dem offenen Web kommen, oder es gibt keine.

Für Forscher ist nicht die Frage interessant, wie viele Websites es einsetzen, sondern welche. Supply-Chain- und Sicherheitsteams beobachten kleine Bibliotheken gerade deshalb, weil ein Paket mit bescheidener Installationsbasis trotzdem im Anfragepfad jeder Seite liegt, die es ausliefert, und weil ein Name, den sich unabhängige Produkte teilen, die manuelle Sichtung verlangsamt. Ein herunterladbarer Datensatz macht aus der Sichtung eine Filterarbeit. Nehmen Sie sich die Zeilen vor, gleichen Sie sie mit Hosting, Ländercode und den Frontend-Skripten ab, die daneben laufen, trennen Sie die plausiblen Node-Installationen von Websites, deren Treffer vom anderen Produkt stammt, und wiederholen Sie das mit dem nächsten Datenstand, um zu sehen, ob sich der Bestand verändert hat. Eine Abfrage pro Domain zeigt, ob eine einzelne Website passt. Der Export zeigt, welcher Bestand passt, und nur diese zweite Form der Frage taugt als Grundlage für eine Entscheidung.