Télécharger les sites web qui utilisent EmailJS

À propos de EmailJS

Envoyer un courriel demande normalement un serveur. EmailJS existe pour supprimer cette exigence, et la manière dont il le fait est ce qui rend sa présence sur un site instructive. Publiée par EmailJS comme un service sous licence Proprietary depuis 2016, la bibliothèque est du JavaScript qui tourne dans le navigateur du visiteur lui-même et remet un message à l’API du fournisseur, laquelle le relaie par le prestataire de messagerie que le propriétaire du site a connecté. Aucun back-end appartenant au site n’intervient à un quelconque moment.

Un site qui l’utilise est donc, dans la plupart des cas, un site sans back-end du tout. Les sites statiques, les applications monopages, les portails de documentation, les pages d’atterrissage d’agences et les portfolios arrivent tous au moment où un formulaire de contact doit aboutir quelque part, et monter un serveur pour acheminer un seul message est hors de proportion avec le besoin. Nous rangeons le service dans la catégorie Email, même si l’usage quotidien est bien plus banal que l’envoi de campagnes : formulaires de contact, déclencheurs de notification et widgets de retour d’expérience.

En octobre 2026 nous détectons EmailJS sur 10 626 sites, dont 5 491 aux États-Unis, avec des domaines concentrés sous .com. Une répartition de ce genre suit l’outillage plutôt qu’un marché. Les générateurs de sites statiques, les plateformes d’hébergement et les modèles de départ qui rendent facile une construction sans back-end sont documentés en anglais et prennent par défaut des domaines génériques, et la bibliothèque voyage à l’intérieur de ces modèles.

Les données de version ont une signification inhabituelle pour un script côté client. Nous enregistrons 23 versions distinctes sur le terrain, et la version que nous rencontrons le plus souvent est 4. Une référence de script est figée dans le source de la page, parfois copiée depuis un tutoriel écrit des années plus tôt, si bien que les anciennes versions persistent jusqu’à ce que quelqu’un modifie le balisage à la main. L’étalement sur ces versions mesure assez directement à quel point les petits sites statiques sont rarement revisités après leur mise en ligne.

Il y a aussi une dimension de sécurité, et elle a une incidence sur qui veut cette liste. Envoyer depuis le navigateur signifie que l’identifiant de compte utilisé par la bibliothèque est visible dans la page pour quiconque regarde. Le fournisseur atténue cela par des restrictions de domaine et des limites de débit, mais l’exposition est structurelle et non une erreur de configuration, si bien qu’une population de sites utilisant le service est une population qui partage une classe particulière de surface. Les chercheurs qui étudient l’exposition d’identifiants ou l’abus de services de relais veulent l’ensemble complet pour cette raison.

Une requête domaine par domaine dit si un site donné utilise le service. Une liste complète dit qui a construit sans back-end, à quelle échelle, dans quels pays et sur quelles versions, et c’est la question qui compte pour les services concurrents de formulaires et de messagerie, pour les plateformes d’hébergement qui dimensionnent le marché du site statique, et pour quiconque mesure comment la disparition des serveurs a remodelé les petits sites web. La détection lit la référence de script ou de module dans la page servie, donc un site qui compile la bibliothèque dans un paquet portant un autre nom de fichier peut nous échapper, et le décompte doit se lire comme un plancher.