Télécharger les sites web qui utilisent SmtpJS

À propos de SmtpJS

Un site qui charge SmtpJS vous dit quelque chose de son architecture avant de vous dire quoi que ce soit de sa messagerie. SmtpJS envoie le courrier depuis le navigateur, en confiant le message à un service de relais depuis du JavaScript côté client, ce que l’on ne fait que lorsqu’aucun backend n’accepte de le faire à votre place. Un hébergement statique, l’export d’un créateur de sites, une formule mutualisée bon marché dont les fonctions de messagerie sont désactivées, une page marketing greffée sur un CDN. La bibliothèque est le contournement, et le contournement est le signal.

Nous rangeons SmtpJS dans la catégorie Email, ce qui en dit trop. Rien ici ne gère des listes, des campagnes ou des désabonnements. L’usage réaliste est un formulaire de contact, une notification de commande ou une alerte sur un petit site, et traiter notre catégorie Email comme une population d’outils de campagne vous induira en erreur si vous ne séparez pas les expéditeurs côté navigateur des suites marketing hébergées.

Publié sous licence MIT et disponible depuis 2016, SmtpJS s’adopte en un rien de temps, avec une balise de script et un jeton. La facilité d’adoption est aussi la faiblesse bien connue. Des identifiants confiés à du code côté client sont visibles par quiconque ouvre le source de la page, et le procédé a été signalé à maintes reprises comme inadapté à quoi que ce soit de sensible. Pour un chercheur en sécurité, la population est elle-même le résultat. Un ensemble de domaines qui envoient du courrier depuis le navigateur est un ensemble de sites qu’il vaut la peine d’examiner à la recherche d’identifiants de relais exposés et de points d’envoi détournables.

Les données de version sont ici maigres, et nous le disons. Nous distinguons 2 versions, et celle que nous voyons le plus souvent est 3, ce qui correspond à ce que l’on attend d’un petit script à usage unique qui a peu changé au fil de sa vie.

En octobre 2026 nous détectons SmtpJS sur 1 201 sites. La détection repose sur l’inclusion du script, donc une copie auto-hébergée sous un fichier renommé, fondue dans un bundle, ou chargée uniquement sur une page que nous n’explorons pas nous échappera. Le décompte est un plancher plutôt qu’un recensement.

Ce que l’export vous donne et qu’une requête sur un domaine ne peut pas donner, c’est la forme de la population, à savoir combien de petits sites acheminent leur courrier par un relais côté client, de quel genre de domaines il s’agit, et si la pratique se répand ou s’efface d’une publication de données à l’autre. Les équipes de sécurité, les fournisseurs d’infrastructure de messagerie et quiconque construit un remplacement direct plus sûr ont besoin de l’ensemble, pas d’un échantillon.