Websites herunterladen, die Unpkg nutzen

Über Unpkg

Auf den meisten Websites, auf denen Unpkg eingebunden ist, ist der Dienst über ein Skript-Tag gelandet, das jemand aus einer Readme kopiert hat. Ein Entwickler brauchte innerhalb der nächsten Minuten eine Bibliothek im Browser, ließ ein Tag auf einen öffentlichen Mirror der Paket-Registry zeigen, und das Tag schaffte es bis in die Produktion, weil es einfach weiter funktionierte. Niemand hat etwas unterschrieben, niemand hat ein Ticket angelegt, und an keiner Stelle dieses Ablaufs fällt eine Entscheidung, die jemand in einem Review verteidigen würde.

Die Folge ist bei jedem Seitenaufruf eine Anfrage an einen fremden Origin, mitten im Render-Pfad und ohne jeden Vertrag. Der Dienst ist kostenlos, wird unter der Lizenz MIT angeboten und als Gefälligkeit für die Allgemeinheit betrieben, was bedeutet, dass es im Unternehmen, das von ihm abhängt, weder einen Supportvertrag noch eine Verfügbarkeitszusage noch einen Vorgang in der Beschaffung gibt. Sicherheitsprüfer und Teams für Anbieterrisiken achten genau auf diese Art von Abhängigkeit, und in einem internen Asset-Inventar tauchen sie selten auf, weil sie nie jemand erfasst hat.

Der Einsatz verrät außerdem etwas über die Bauweise der Website. Eine Seite, die Bibliotheken direkt von einem Registry-Mirror lädt, hat entweder keine Build-Pipeline oder eine, die das Marketing-Team umgeht. Das Muster häuft sich bei Prototypen, die in den Produktivbetrieb übernommen wurden, bei Dokumentationsseiten, Kampagnen-Landingpages und Content-Themes, in die ein Redakteur ein Widget-Snippet eingefügt hat. Seit 2016 ist der Dienst der übliche Weg, auf dem Autoren von Bibliotheken die Installationszeile in ihrer Readme angeben, und so verbreitet er sich durch kopierte Beispiele und nicht durch eine bewusste Einführung im eigentlichen Sinn.

Stand Oktober 2026 erkennen wir Unpkg auf 466.286 Websites. 200.867 davon verorten wir in den USA. Bei den Endungen liegt der Schwerpunkt auf .com. Die Geografie folgt auch hier dem Hosting und der Registrierung, nicht der Nationalität des Entwicklers, der das Tag eingefügt hat.

Die eigentliche Einschränkung betrifft hier die Detailtiefe. Wir erfassen, dass eine Seite Assets von diesem Origin anfordert, aber nicht, welches Paket sie anfordert oder ob die Anfrage eine Version festlegt. Zwei gleich gezählte Domains laden womöglich eine kleine Hilfsbibliothek und ein komplettes Framework, und bei einer davon zeigt die URL vielleicht auf keine feste Version, sodass sie im nächsten Monat anderen Code liefert. Aus diesem Grund gibt es für diese Technologie kein Versionsfeld. Die Erkennung setzt außerdem voraus, dass die URL im ausgelieferten Markup steht. Alles, was beim Build gebündelt oder über die eigene Domain der Website durchgereicht wird, bleibt für uns unsichtbar, und die Gesamtzahl sollte als Untergrenze gelesen werden.

Eine Abfrage pro Domain informiert einen Prüfer über eine einzelne Website, und das genügt, solange es um genau diese Website geht. Die herunterladbare Liste klärt Fragen, an die eine Einzelabfrage nicht herankommt. Wie viele Domains in einer Branche, einem Land oder einem Kundenstamm einen Drittanbieter ohne Vertrag im kritischen Render-Pfad haben. In welchen Hosting-Umgebungen sich das Muster ballt. Ob der Bestand wächst oder schrumpft, während Build-Werkzeuge einfacher werden, was sich erst im Vergleich eines Snapshots mit einem anderen zeigt. Für Anbieter von Build-Pipelines, Self-Hosting oder Supply-Chain-Monitoring ist dieser Bestand keine Kuriosität, sondern der Zielmarkt.