Télécharger les sites web qui utilisent crypto-js

À propos de crypto-js

La géographie de cette bibliothèque est la première chose à expliquer, parce que c’est la partie que l’on risque le plus de mal lire. En octobre 2026 nous relevons crypto-js sur 126 236 sites, et 81 735 d’entre eux se trouvent en France. Un utilitaire de cryptographie n’a aucun caractère national propre, et une concentration de cette ampleur ne traduit donc presque jamais le goût des développeurs d’un seul marché. Une concentration pareille signifie le plus souvent que le code arrive intégré dans autre chose : un panneau de contrôle d’hébergement, un thème partagé, un widget de paiement ou un modèle de constructeur de sites distribué par un fournisseur à forte présence régionale. Qui lit la colonne pays comme un indicateur de la demande devrait plutôt la lire comme un indicateur de la distribution.

crypto-js est une bibliothèque rangée dans la catégorie JavaScript libraries, dont la première version remonte à 2009, écrite en JavaScript et publiée sous licence MIT. La bibliothèque date d’une époque où les navigateurs n’offraient pas encore d’interface cryptographique native utilisable, ce qui explique pourquoi tant de code l’appelle encore pour du hachage, du chiffrement symétrique et des travaux d’encodage que la plateforme prend désormais en charge toute seule. Trouver la bibliothèque sur une page en dit donc davantage sur l’âge du code qui l’entoure que sur la posture de sécurité du site. La cryptographie côté client est par ailleurs souvent mal employée, et un chercheur qui cherche à repérer les pages qui chiffrent dans le navigateur puis se fient au résultat ailleurs a une raison légitime de vouloir la population entière plutôt qu’une poignée d’exemples.

Les données de version sont ici d’une richesse inhabituelle. Nous conservons 21 chaînes de version distinctes, et la version que nous enregistrons le plus souvent est 4.1.1. La dispersion des versions compte particulièrement pour cette bibliothèque, car les anciennes versions présentent des faiblesses documentées dans leur façon de produire de l’aléa, et un site figé sur un ancien bundle l’est normalement parce que plus personne ne s’occupe de cette dépendance. Filtrer par version transforme une longue liste en une liste bien plus courte et réellement exploitable, que l’objectif soit une notification de sécurité, une approche commerciale ou un échantillon de recherche.

Une requête domaine par domaine indique si un site charge la bibliothèque. Notre export répond à la question inverse : partant de la bibliothèque, quels sites, dans quel pays, sur quel suffixe, à quelle version. Obtenir cela avec un outil de requête est impossible, car une requête part du domaine alors que nous partons de la technologie. Chaque ligne porte le domaine, la date de détection, le pays, le domaine de premier niveau et la chaîne de version lorsqu’elle est exposée, ce qui rend tout simplement possibles le filtrage, l’échantillonnage et la comparaison dans le temps.

La détection procède par inférence et sous-compte. Nous identifions crypto-js par le script servi et par les empreintes des bundles qui l’intègrent, si bien que les sites qui compilent le code dans un bundle applicatif sous un autre nom sortent du décompte. La concentration sur .fr hérite de même de la forme ordinaire du marché de l’enregistrement plutôt que de quoi que ce soit de propre à cette bibliothèque. Le nombre de sites doit se lire comme un plancher, pas comme un recensement.