Télécharger les sites web qui utilisent Underscore.js

À propos de Underscore.js

Il existe une catégorie de logiciels que plus personne n’installe et qui continue pourtant d’apparaître. Underscore.js en est un cas d’école. Publiée en 2009, la bibliothèque fournissait les fonctions utilitaires pour tableaux, objets et fonctions qui manquaient au langage lui-même, et pendant des années peu de bases de code sérieuses s’en passaient. JavaScript a ensuite intégré l’essentiel de ces idées dans la norme. Un développeur qui démarre un projet aujourd’hui n’a aucune raison de l’ajouter, et nous continuons pourtant de la trouver.

L’explication tient au fait qu’elle arrive le plus souvent dans les bagages d’un autre composant. Un widget de graphiques, un vieux thème d’administration, une balise marketing ou un plugin empaqueté embarque la bibliothèque, et le propriétaire du site ne l’a jamais choisie et ignore sa présence. En octobre 2026, nous la détectons sur 629 670 sites, et le chiffre doit se lire comme la mesure de ce que le web a accumulé plutôt que de ce que quiconque adopte actuellement.

Comprise ainsi, la présence devient un outil de datation. Un domaine qui sert cette bibliothèque sert probablement d’autre code de la même époque, car les bundles vieillissent rarement seuls. La bibliothèque est petite, sous licence MIT et inoffensive en elle-même, si bien qu’une détection n’est pas un rapport de vulnérabilité et que nous ne la ferons pas passer pour un tel rapport. Une détection indique que le JavaScript d’une page comporte des couches, que certaines de ces couches sont anciennes, et que personne n’a audité le bas de la stack depuis longtemps.

L’éventail des versions est inhabituellement large pour une bibliothèque aussi stable. Nous relevons 465 chaînes de version distinctes, et celle que nous voyons le plus souvent est 1.13.8. La dispersion vient du mode de distribution plutôt que d’un renouvellement rapide. Les copies se trouvent dans les bundles de tiers, figées sur la version courante au moment où chaque bundle a été construit, et elles ne bougent que lorsque le produit parent bouge. La détection de version est en outre partielle, car une copie minifiée concaténée dans un fichier plus gros ne porte souvent aucun marqueur lisible, ce qui signifie qu’une partie des installations figure dans le décompte sans version associée.

Parmi les sites où nous la trouvons, 205 484 se situent aux États-Unis, et la zone .com porte l’essentiel de la répartition des domaines. Le public d’une liste comme celle-ci n’est pas constitué de développeurs en quête d’une bibliothèque utilitaire. Les équipes chargées de la sécurité de la chaîne d’approvisionnement et des applications veulent savoir où se trouve physiquement le vieux code côté client dans un portefeuille de sites. Les fournisseurs spécialisés dans la performance veulent les sites qui livrent encore du code utilitaire qui fait doublon avec le langage. Les agences et les spécialistes de la migration de plateformes veulent la preuve, sous une forme qu’un client acceptera, qu’un site repose sur des fondations posées il y a longtemps. Les chercheurs qui étudient la façon dont les dépendances se dégradent veulent la population elle-même et ses mouvements d’un instantané à l’autre.

Un domaine isolé peut se vérifier à la main dans la console d’un navigateur, et pour un seul domaine c’est le bon outil. La valeur du téléchargement réside plutôt dans la forme de la population. Quels hébergeurs, quels pays, quelles plateformes présentes à ses côtés, quels sites portent la bibliothèque avec un jQuery tout aussi ancien, et combien d’entre eux sortent de la liste d’un instantané au suivant. Répondre à l’une de ces questions à coups de requêtes supposerait de deviner d’abord la liste des domaines, et deviner la liste des domaines est précisément le travail dont le dataset a vocation à vous dispenser.