Websites herunterladen, die Xajax nutzen

Über Xajax

Wer Xajax auf einer Website findet, die noch online ist, betreibt ebenso sehr Altersbestimmung wie Technologieerkennung. Die Bibliothek erschien 2005, in dem kurzen Zeitfenster, in dem man für asynchrone Anfragen in einer PHP-Anwendung die nötige Mechanik noch von Hand schreiben musste. Xajax nahm Entwicklern die Mechanik der Anfragen ab und machte serverseitige Funktionen im Browser verfügbar, sodass sich eine Seite ohne Neuladen aktualisieren konnte, und das zu einer Zeit, als das wirklich schwierig war.

Der Einsatz der Bibliothek deutet heute auf eine Seite hin, deren interaktive Teile in jener Zeit geschrieben und seitdem nicht neu geschrieben wurden. Der Schluss lautet nicht, dass die Website verwaist ist. Viele der Seiten, die wir finden, werden gepflegt, mit frischen Inhalten aktualisiert und sind kommerziell aktiv. Unverändert geblieben ist die Schicht darunter, entweder weil ein individuelles Admin-Panel noch davon abhängt oder weil ein Content-System sie vor Jahren mitgeliefert hat und niemand einen Grund hatte, sie herauszureißen.

Das Verbreitungsmodell erklärt, warum sich die Bibliothek so hartnäckig hält. Weil sie unter der Lizenz LGPL steht und als Ordner mit PHP-Dateien statt über eine Paket-Registry ausgeliefert wurde, verbreitete sie sich, indem man sie in Projekte kopierte. Kopien werden nicht zentral aktualisiert, kein Anbieter verteilt einen Patch, und nirgends gibt es ein Konto, das festhält, wer sie installiert hat. Unser eigener Eintrag spiegelt das wider. Webatla führt für die Bibliothek keinen Anbieter und keine verwertbare Aufschlüsselung nach Versionen, und genau so sieht Code, der durch Kopieren verbreitet wurde, von außen aus.

Stand Oktober 2026 erkennen wir Xajax auf 440 Websites, und die Zahl sollte als Untergrenze gelten. Die Erkennung beruht darauf, dass erkennbare Dateipfade und Funktionsnamen bis in das Markup erhalten bleiben, das wir abrufen. Sobald Skripte zusammengeführt, minifiziert oder aus einem Bundle mit umgeschriebenen Namen ausgeliefert werden, verschwindet der Fingerabdruck, während der Code weiterläuft. Die Websites, die wir benennen können, sind also jene, die nie einen Build-Schritt eingeführt haben.

Gerade diese Einschränkung macht die Liste auch interessant. Eine Einzelabfrage pro Domain zeigt, ob eine Website die Bibliothek nutzt, was kaum jemand wirklich wissen will. Die nützliche Frage geht in die umgekehrte Richtung. Welche aktiven Domains betreiben noch Code aus dieser Zwischengeneration, wie groß sind sie, was läuft sonst noch auf ihnen, und häufen sie sich in bestimmten Branchen oder bei bestimmten Hosting-Anbietern? Sicherheitsforscher nutzen solche Listen, um den Long Tail ungepatchten Anwendungscodes zu untersuchen. Agenturen, die Plattformwechsel verkaufen, finden damit Betreiber, die einen Neubau seit einem Jahrzehnt aufschieben. Webhistoriker nutzen sie, weil eine erhaltene Installation eine Primärquelle ist und kein Register festhält, wo der alte Code liegt.