Websites herunterladen, die SmtpJS nutzen

Über SmtpJS

Lädt eine Website SmtpJS, verrät sie etwas über ihre Architektur, noch bevor sie irgendetwas über ihre E-Mails verrät. Die Bibliothek SmtpJS verschickt Mails aus dem Browser und übergibt die Nachricht per clientseitigem JavaScript an einen Relay-Dienst, was man nur tut, wenn kein Backend bereitsteht, das diese Aufgabe übernimmt. Statisches Hosting, ein Export aus einem Baukasten, ein billiger Shared-Hosting-Tarif mit deaktivierten Mailfunktionen, eine Marketingseite, die an ein CDN angeflanscht wurde. Die Bibliothek ist die Notlösung, und die Notlösung ist das Signal.

Wir führen SmtpJS in der Kategorie Email, was zu hoch gegriffen ist. Die Bibliothek verwaltet weder Listen noch Kampagnen noch Abmeldungen. Realistisch geht es um ein Kontaktformular, eine Bestellbenachrichtigung oder eine Warnmeldung auf einer kleinen Website, und wer unsere Kategorie Email als Bestand von Kampagnen-Tools behandelt, wird in die Irre geführt, sofern er Absender im Browser nicht von gehosteten Marketing-Suites trennt.

SmtpJS steht seit 2016 unter der Lizenz MIT zur Verfügung und lässt sich mühelos einbinden: ein Skript-Tag und ein Token. Die einfache Einbindung ist zugleich die bekannte Schwäche. Zugangsdaten, die man clientseitigem Code übergibt, sieht jeder, der den Quelltext der Seite öffnet, und das Muster wurde wiederholt als ungeeignet für alles Sensible eingestuft. Für Sicherheitsforscher ist schon der Bestand selbst der Befund. Eine Menge von Domains, die Mails aus dem Browser verschicken, ist eine Menge von Websites, die man auf offengelegte Relay-Zugangsdaten und missbrauchbare Versand-Endpunkte prüfen sollte.

Die Versionsdaten sind hier dünn, und das sagen wir offen. Wir unterscheiden 2 Builds, am häufigsten sehen wir Version 3, was bei einem kleinen Skript mit einem einzigen Zweck, das sich seit seinem Erscheinen kaum verändert hat, zu erwarten ist.

Stand Oktober 2026 erkennen wir SmtpJS auf 1.201 Websites. Die Erkennung sucht nach der Skript-Einbindung, daher entgeht ihr eine Kopie, die unter einem umbenannten Dateinamen selbst gehostet, in ein Bundle eingearbeitet oder nur auf einer Seite geladen wird, die wir nicht crawlen. Die Zahl ist eine Untergrenze und keine Vollerhebung.

Was der Export bietet und eine Domainabfrage nicht, ist die Struktur des Bestands: wie viele kleine Websites ihre Mails über ein clientseitiges Relay leiten, um welche Art von Domains es sich handelt und ob sich die Praxis zwischen zwei Datenausgaben ausbreitet oder zurückgeht. Sicherheitsteams, Anbieter von E-Mail-Infrastruktur und alle, die einen sichereren Drop-in-Ersatz bauen, brauchen den Bestand als Ganzes und keine Stichprobe daraus.