Websites herunterladen, die Sass nutzen

Über Sass

Von Sass soll fast nichts im Browser ankommen. Stylesheets werden mit Variablen, Verschachtelung, Mixins und Vererbung geschrieben und vor dem Deployment in gewöhnliches CSS kompiliert, und eine korrekte Ausgabe trägt keine Signatur des Werkzeugs, das sie erzeugt hat. Was ein Crawler erkennt, sind Lecks: ein in einem Kommentar zurückgelassener Verweis auf eine Source Map, ein unveränderter Pfad zum ursprünglichen Stylesheet, ein Build, der mit noch eingeschalteten Entwicklungseinstellungen ausgeliefert wurde.

Die Zahl muss man vor dem Hintergrund lesen, wie sie zustande kommt. Stand Oktober 2026 erfassen wir Sass auf 1.532 Websites, und die Zahl ist eine Untergrenze, keine Schätzung. Ein sorgfältiger Produktions-Build entfernt genau die Spuren, auf die die Erkennung angewiesen ist. Im sichtbaren Bestand sind deshalb Websites überrepräsentiert, die Source Maps bewusst veröffentlichen, versehentlich eine Entwicklungskonfiguration ausliefern oder einen Host nutzen, der für sie kompiliert und die Belege stehen lässt. Das Werkzeug ist viel weiter verbreitet, als ein Crawl je belegen kann.

Die Geschichte erklärt die seltsamen Metadaten. Die Arbeit begann 2006, das Projekt steht unter der Lizenz MIT, und der ursprüngliche Compiler wurde in Ruby geschrieben, weshalb unser Katalog diese Sprache noch führt, obwohl die Referenzimplementierung Jahre später in einer anderen Sprache neu geschrieben wurde. Wir führen den Eintrag in der Kategorie Programming languages, was zugegebenermaßen eher ein Achselzucken ist als eine Einordnung. Ein Präprozessor ist kein Framework, kein Server und kein Content-System, und er gehört zur Build-Pipeline und nicht zu dem Stack, der eine Anfrage beantwortet.

Was der Einsatz eines Präprozessors tatsächlich verrät, betrifft das Team und nicht die Seite. Jemand hat einen Build-Schritt eingerichtet. Es gibt einen Bundler, vermutlich eine Komponentenstruktur, ein Repository und einen Deployment-Prozess, und das unterscheidet die Website von dem riesigen Bestand an Seiten, die mit einem Theme in einem gehosteten Editor zusammengesetzt wurden. Eine öffentlich lesbare Source Map ist außerdem ein eigener Befund für alle, die prüfen, was eine Website ungewollt preisgibt.

Der Auszug ist daher in mehrfacher Hinsicht nützlich. Anbieter von Entwicklerwerkzeugen, Designsystemen und Komponentenbibliotheken erhalten Websites von Leuten, die ihren Code kompilieren und sich für ein Produkt gewinnen lassen, das sich in eine Pipeline einklinkt. Sicherheitsforscher erhalten eine Ausgangsmenge von Domains, die nachweislich Build-Artefakte veröffentlichen. Eine Agentur, die argumentiert, dass das Frontend eines Interessenten einen Neuaufbau verdient, kann einen Markt danach sortieren, ob das Frontend überhaupt je technisch entwickelt oder nur zusammengesetzt wurde. Eine Abfrage pro Domain kann nichts davon leisten, denn jede dieser Anwendungen beginnt mit dem gesamten Bestand und grenzt ihn ein, nicht mit einem Namen und einer Vermutung.