Télécharger les sites web qui utilisent cdnjs

À propos de cdnjs

Presque personne ne choisit cdnjs. Il arrive à l’intérieur d’un thème, d’un gabarit ou d’un tutoriel que quelqu’un a copié, et il reste parce que le retirer demanderait de comprendre ce qui en dépend. En octobre 2026 nous le détectons sur 2 136 437 sites, et la majorité de ces propriétaires ne sauraient pas le nommer.

C’est précisément ce caractère hérité qui le rend instructif. Une dépendance que personne n’a choisie est une dépendance que personne n’entretient, si bien que sa présence signale des sites assemblés à partir de pièces existantes plutôt que construits délibérément. Combiné au reste de la stack front-end, il aide à séparer les propriétés qui ont été construites de celles qui ont été configurées.

Une seconde lecture pèse plus lourd. Charger des bibliothèques depuis une origine tierce est une décision de chaîne d’approvisionnement, que quelqu’un l’ait reconnue comme telle à l’époque ou non. Chaque site de cette population exécute du code servi par une infrastructure qu’il ne contrôle pas, et les conséquences de sécurité en sont bien documentées. Pour quiconque évalue le risque tiers sur un portefeuille, cette population est la liste de départ.

L’origine appartient ici à un réseau de diffusion majeur, ce qui modifie le calcul du risque mais n’enlève rien au point structurel. La dépendance est externe, elle est figée sur une version dans la page, et le propriétaire du site ne dispose d’aucun mécanisme pour s’apercevoir que cette version figée est devenue inadaptée.

C’est aux États-Unis que les détections se concentrent le plus, avec 810 381 d’entre elles, et la zone .com arrive en tête, l’un et l’autre suivant l’âge et l’origine des gabarits qui l’ont transporté plutôt qu’une quelconque préférence régionale.

La requête pratique porte presque toujours sur une combinaison. Quels sites chargent des bibliothèques depuis une origine externe, et portent aussi des outils de paiement, et relèvent aussi d’un secteur réglementé, et ne montrent aussi aucun signe de maintenance récente. Voilà une liste courte de risque sur la chaîne d’approvisionnement, et ce sont quatre filtres sur une population entière plutôt qu’une requête isolée.

L’export webatla livre ces filtres à bas coût en plaçant toutes les détections d’un domaine sur une seule ligne, dans un fichier reconstruit chaque jour que vous filtrez sur votre machine.

Le figeage de version mérite un examen plus attentif, car c’est là que se trouve le risque pratique. Une page qui réclame une version précise depuis une origine externe continuera de la réclamer indéfiniment, longtemps après que des problèmes connus ont été signalés sur cette version. Rien dans le site ne s’en aperçoit, parce que rien n’y veille, et le propriétaire ne dispose d’aucun mécanisme qui soulèverait un jour la question.

Il en résulte une population mesurable de sites qui exécutent du code tiers périmé, sans chemin de mise à jour dont quiconque soit responsable. Pour les fournisseurs de sécurité, les auditeurs et les assureurs, la taille et la composition de cette population forment un chiffre réellement utile, et ce n’est pas quelque chose que le réseau de diffusion pourrait publier même s’il le voulait, parce que le réseau voit des requêtes plutôt que les sites qui se trouvent derrière.

Cloudflare exploite le service, qui est publié sous licence MIT et disponible depuis 2011. Une infrastructure publique gratuite de ce genre ne produit jamais de liste d’utilisateurs, parce qu’il n’y a ni compte ni inscription entre le site et le service.