Télécharger les sites web qui utilisent jsDelivr

À propos de jsDelivr

Chaque script qu’une page charge depuis le domaine de quelqu’un d’autre est un petit acte de confiance, renouvelé à chaque affichage. jsDelivr est l’un des domaines que cette confiance vise, un réseau de diffusion public et gratuit qui sert des paquets, des versions et des ressources de plugins à toute page acceptant de pointer vers eux.

Personne n’achète le service, et cela change le sens d’un décompte. Il n’y a ni contrat ni compte, donc un site figure ici parce qu’un développeur a collé une URL, ou plus souvent parce qu’un thème, un plugin ou un gabarit de documentation l’a fait il y a des années et que personne n’est revenu sur ce choix. La détection est d’autant plus directe que la cible de la requête est écrite dans le balisage que nous récupérons. Ce que la détection ne peut pas établir, c’est si le propriétaire du site sait que la dépendance est là.

En octobre 2026, le fichier porte 1 757 424 sites qui chargent des ressources depuis le réseau, dont 834 689 aux États-Unis, sur un mélange de domaines où .com est fortement représenté. Une échelle de cet ordre constitue à elle seule tout l’argument de sécurité. Un réseau public présent sur autant de pages est une infrastructure, et une infrastructure fournie gratuitement est une infrastructure sans relation client sur laquelle se rabattre quand quelque chose tourne mal.

Le projet tourne depuis 2012 sous licence MIT, financé par du parrainage et réparti sur plusieurs réseaux commerciaux avec bascule automatique. L’ouverture est une vraie force et aussi la raison pour laquelle un questionnaire de diligence raisonnable pose la question. Une URL figée sur une version est reproductible et se comporte comme une dépendance. Une URL figée de façon lâche, ou pas figée tout court, est une promesse permanente que tout ce que le mainteneur publiera ensuite s’exécutera à l’intérieur de vos pages, avec les sessions de vos utilisateurs à portée. La distinction technique est invisible dans une colonne booléenne, ce qui explique pourquoi la référence brute compte plus que l’indicateur.

Les équipes de sécurité applicative veulent la vue par population, parce que leurs propres inventaires ne couvrent que les domaines dont elles se souviennent d’être propriétaires, et c’est dans les marques rachetées et les microsites de campagne que s’accumulent les origines tierces. Les fournisseurs qui vendent de l’intégrité de sous-ressource, de l’outillage de politique de sécurité de contenu ou de l’analyse de dépendances veulent des prospects dont les pages sortent déjà de leur propre origine. Les mainteneurs de paquets veulent savoir où leurs versions sont réellement consommées, ce que les décomptes de téléchargement d’un registre ne montrent jamais, car une requête vers un réseau de diffusion n’est pas une installation de paquet.

Les limites méritent d’être dites sans détour. Nous enregistrons l’origine qu’une page référence plutôt que ce qui est revenu, donc un lien mort vers quelque chose retiré depuis longtemps compte encore comme une référence. Les ressources injectées plus tard par un autre script peuvent nous échapper tout court. Un indicateur au niveau du site masque aussi la profondeur, puisqu’une petite bibliothèque sur un formulaire de contact et une coque applicative entière de dépendances se ressemblent à l’identique dans une colonne par oui ou par non, alors que le risque qu’elles représentent n’a rien d’identique.

Une requête par domaine indique si une page référence le réseau aujourd’hui. Le téléchargement répond à ce qui vient ensuite : quels secteurs portent des références publiques relevant de la catégorie CDN, comment la part a évolué à mesure que les empaqueteurs sont devenus la norme, quelles bases d’hébergement et quels pays concentrent l’exposition, et quels sites combinent cette origine avec plusieurs autres sur la même page. Chaque ligne porte le pays, le suffixe et le reste de la stack détectée, de sorte que l’exposition aux tiers peut être dimensionnée à l’échelle d’un marché plutôt qu’échantillonnée un nom d’hôte à la fois.