Télécharger les sites web qui utilisent Auth0 Lock

À propos de Auth0 Lock

Personne n’a envie de construire la boîte de connexion. Inscription, réinitialisation de mot de passe, connexion via les réseaux sociaux, états d’erreur, accessibilité, traductions : le travail est ingrat, facile à rater de façon subtile, et presque identique sur chaque produit qui en a besoin. Auth0 Lock est le widget qui répond à cette réticence, une boîte de dialogue d’authentification prête à l’emploi qu’un développeur intègre dans une page et pointe vers un service d’identité hébergé. Sa première version date de 2014 et il est écrit en JavaScript, ce qui le place dans une génération de composants front-end qui ont échangé du contrôle contre du temps.

C’est la ligne du fournisseur qui rend cette fiche intéressante. Le widget est enregistré au nom d’Okta, qui n’est pas l’entreprise qui l’a construit à l’origine. Une acquisition a fait passer la plateforme d’identité dans le giron d’un fournisseur de sécurité plus grand, et le widget intégré a suivi. Chaque page qui charge encore le script représente donc une relation client qui a survécu à un changement de propriétaire, ce qui est exactement la population qu’une analyse de vente aux grands comptes ou d’attrition cherche à isoler.

Les données de version portent le reste de l’histoire. Nous avons observé 29 versions distinctes dans la nature, et le détecteur rattache une large part des sites à 10.8. Un étalement aussi large pour un seul widget intégrable est normal pour cette classe de composant, et c’est aussi ce qui rend la donnée utile. Un widget d’authentification est figé dans une page ou dans un paquet, on y revient rarement, et il continue de tourner longtemps après que l’équipe qui l’a ajouté est passée à un autre schéma. Le champ de version fonctionne donc comme un indicateur indirect de la date à laquelle quelqu’un a touché pour la dernière fois au front-end d’un site, et de la question de savoir si les correctifs du chemin de connexion ont atteint la production.

Le widget lui-même est publié sous licence MIT, si bien que n’importe qui peut le lire, le dériver et le figer. Personne n’auto-héberge pour autant le service d’identité qui se trouve derrière. La présence du script implique un compte chez la plateforme, une application configurée de l’autre côté, et une équipe qui a décidé que l’identité n’était pas son problème à résoudre. Une telle déduction est plus sûre que ce que permettent la plupart des détections de technologies, parce que le widget n’a aucun interlocuteur tant qu’aucun compte n’existe.

Il y a des limites qu’il vaut la peine d’énoncer. La détection ne voit que le widget intégré, si bien qu’un site qui utilise la même plateforme d’identité par une page de connexion hébergée, un SDK mobile ou une intégration côté serveur n’apparaîtra tout simplement pas ici. Le décompte est un plancher pour la plateforme et un chiffre exact seulement pour ce seul style d’intégration. En octobre 2026 l’empreinte du widget apparaît sur 43 sites.

Une requête domaine par domaine indique si une entreprise donnée intègre le widget. L’export répond aux questions qui exigent l’ensemble complet : quels secteurs ont fait de l’identité hébergée un standard et lesquels continuent de tout faire en interne, comment la distribution des versions se déplace après un avis de sécurité, quels comptes font tourner des versions assez anciennes pour justifier un échange avec le support, et quels sites portent le widget à côté de l’outillage d’un concurrent. Pour un fournisseur qui vend de l’authentification, pour un chercheur qui mesure le retard de mise à jour et pour quiconque dimensionne le marché des produits d’identité pour développeurs, l’unité d’analyse est la liste et non le domaine isolé.