Descargar sitios web que utilizan jsDelivr

Acerca de jsDelivr

Cada script que una página carga desde el dominio de otro es un pequeño acto de confianza, renovado en cada visita. jsDelivr es uno de los dominios a los que apunta esa confianza, una red pública y gratuita de distribución que sirve paquetes, publicaciones y recursos de plugins a cualquier página dispuesta a enlazarlos.

Nadie compra el servicio, y eso cambia lo que significa contarlo. No hay contrato ni cuenta, así que un sitio aparece aquí porque un desarrollador pegó una URL o, más a menudo, porque un tema, un plugin o una plantilla de documentación lo hizo hace años y nadie volvió sobre la decisión. La detección es, en consecuencia, directa, ya que el destino de la petición está escrito en el marcado que descargamos. Lo que la detección no puede establecer es si el dueño del sitio sabe que la dependencia está ahí.

En octubre de 2026 el archivo recoge 1.757.424 sitios que cargan recursos de la red, 834.689 de ellos en Estados Unidos, sobre una mezcla de dominios donde .com está muy representado. Una escala de ese orden es todo el argumento de seguridad. Una red pública que aparece en tantas páginas es infraestructura, y una infraestructura suministrada sin cargo es una infraestructura sin relación comercial a la que recurrir cuando algo sale mal.

El proyecto funciona desde 2012 con licencia MIT, financiado por patrocinio y repartido entre varias redes comerciales con conmutación automática por error. La apertura es una fortaleza real y también el motivo por el que un cuestionario de diligencia debida pregunta por ella. Una URL fijada a una versión es reproducible y se comporta como una dependencia. Una URL fijada de forma laxa, o no fijada en absoluto, es una promesa permanente de que lo que el mantenedor publique a continuación se ejecutará dentro de sus páginas con las sesiones de sus usuarios al alcance. La distinción técnica es invisible en una columna booleana, y por eso la referencia en bruto importa más que el indicador.

Los equipos de seguridad de aplicaciones quieren la vista de población porque sus propios inventarios solo cubren los dominios que recuerdan tener, y las marcas adquiridas y los micrositios de campaña son donde se acumulan los orígenes de terceros. Los proveedores que venden integridad de subrecursos, herramientas de política de seguridad de contenido o análisis de dependencias quieren clientes potenciales cuyas páginas ya salgan fuera de su propio origen. Los mantenedores de paquetes quieren saber dónde se consumen de verdad sus publicaciones, algo que los recuentos de descargas de un registro nunca muestran, porque una petición a una red de distribución no es una instalación de paquete.

Los límites merecen decirse llanamente. Registramos el origen al que una página hace referencia, no lo que volvió, así que un enlace caducado a algo retirado hace tiempo sigue contando como referencia. Los recursos inyectados después por otro script pueden pasarnos desapercibidos por completo. Un indicador por sitio también oculta la profundidad, ya que una biblioteca pequeña en un formulario de contacto y todo el armazón de dependencias de una aplicación se ven idénticos en una columna de sí o no, y el riesgo que representan no es ni de lejos idéntico.

Una consulta por dominio dice si una página hace referencia hoy a la red. La descarga responde a lo que viene después: qué sectores llevan referencias públicas a servicios de la categoría CDN, cómo se movió la cuota a medida que los empaquetadores se volvieron habituales, qué bases de alojamiento y qué países concentran la exposición y qué sitios combinan este origen con otros varios en la misma página. Cada fila lleva el país, el sufijo y el resto de la pila detectada, de modo que la exposición a terceros puede dimensionarse en todo un mercado en lugar de muestrearse un nombre de host cada vez.