Télécharger les sites web qui utilisent Social9

À propos de Social9

Les scripts tiers intégrés forment un recoin étrange du web à étudier, parce que le code qui les charge survit d’ordinaire à la raison de son ajout. Un éditeur colle un fragment dans un gabarit pendant une campagne de conquête du trafic social, la campagne se termine, le fragment reste dans le thème. Lire une population d’installations revient donc en partie à lire ce que les propriétaires de sites croyaient autrefois de la distribution, conservé dans le balisage bien après que la croyance a changé.

Social9 est du code de ce genre, un chargeur qu’un éditeur dépose dans un thème puis oublie. En octobre 2026 nous le voyons sur 116 sites. Le site du fournisseur vend aujourd’hui tout autre chose, une plateforme à destination des équipes marketing qui utilise l’intelligence artificielle pour produire et programmer des contenus pour les réseaux sociaux, si bien qu’une détection ici se lit mieux comme une indication sur les pages qui portent le script que comme le signe d’une relation client actuelle.

La quantité la plus révélatrice n’est pas le total mais l’étalement des versions derrière lui. Nous relevons 17 chaînes de version distinctes sur les installations que nous observons, dont 3.5.1. Un script qui porte autant de versions en circulation n’est pas mis à jour de façon centralisée. Chaque site reste figé sur la version qui était courante au moment où le fragment a été collé dans le thème, et personne n’y revient ensuite pour la changer. Une fragmentation de cette ampleur est le sort normal du JavaScript copié-collé, et elle n’est mesurable ici que parce que le chargeur annonce sa version.

L’étalement des versions est précisément ce qu’une requête unique ne peut pas vous donner. Savoir qu’un domaine fait tourner une version particulière vous renseigne sur ce domaine. Savoir comment toute une population se répartit entre les versions vous renseigne sur la façon dont le JavaScript tiers vieillit dans la nature, ce qui compte si vous évaluez un risque de chaîne d’approvisionnement, si vous préparez l’abandon d’un widget, ou si vous rédigez un avis qui doit préciser quelle part de la base installée un problème donné atteindrait encore.

Le public d’une liste comme celle-ci se partage selon une ligne nette. D’un côté se trouvent ceux qui vendent sur le même créneau, celui des widgets d’engagement et de conversion sur page que les éditeurs collent dans un gabarit, et qui veulent des propriétaires de sites déjà à l’aise avec l’exécution d’un script externe. La disposition à le faire une fois prédit fortement la disposition à le refaire, et c’est pourquoi cette population convertit mieux qu’une liste froide de sites de contenu. De l’autre côté se trouvent les gens qui s’intéressent à ce que ces scripts font réellement, des chercheurs en protection de la vie privée qui retracent les trajets des données de visiteurs aux équipes de sécurité qui inventorient le code hébergé à l’extérieur et exécuté sur des pages qu’elles ne contrôlent pas.

Les deux groupes ont besoin de la même matière première, à savoir l’ensemble complet des domaines plutôt qu’un verdict sur l’un d’eux. Une vérification domaine par domaine confirme une hypothèse que vous avez déjà. Le téléchargement est ce qui vous permet d’en former une au départ, et de la confronter de nouveau à l’exploration suivante.

Une limite honnête doit figurer sur l’étiquette. Un script chargé en différé, injecté par un gestionnaire de balises, ou laissé dans un gabarit après l’expiration du compte sera enregistré différemment d’un script réellement en usage. Ce que nous vérifions, c’est que le chargeur était présent dans la page au moment de l’exploration. Savoir s’il fait encore quelque chose pour quelqu’un n’est pas une question à laquelle le balisage peut répondre.