Télécharger les sites web qui utilisent Unpkg

À propos de Unpkg

C’est par une balise script copiée depuis un readme qu’Unpkg arrive sur la plupart des sites concernés. Un développeur avait besoin qu’une bibliothèque tourne dans un navigateur d’ici quelques minutes, a pointé une balise vers un miroir public du registre de paquets, et la balise a survécu jusqu’en production parce qu’elle continuait de fonctionner. Personne n’a rien signé, personne n’a ouvert de ticket, et rien dans cet enchaînement ne relève d’une décision que quiconque défendrait lors d’une revue.

La conséquence est un appel vers une origine extérieure à chaque chargement de page, dans le chemin de rendu, sans aucun contrat. Le service est gratuit, proposé selon les termes de la licence MIT et exploité comme un service rendu à la communauté, ce qui signifie qu’il n’existe ni contrat de support, ni engagement de disponibilité, ni trace d’achat au sein de l’entreprise qui en dépend. Les auditeurs de sécurité et les équipes chargées du risque fournisseurs s’intéressent précisément à ce type de dépendance, et il apparaît rarement dans un inventaire interne des actifs, puisque personne ne l’y a jamais consigné.

La présence dit aussi quelque chose de la façon dont le site est construit. Une page qui charge des bibliothèques directement depuis un miroir du registre est une page qui soit n’a aucune chaîne de build, soit en a une que l’équipe marketing contourne. On retrouve surtout cette pratique dans les prototypes passés en production, les sites de documentation, les pages d’atterrissage de campagne et les thèmes de contenu dans lesquels un rédacteur a collé un extrait de code de widget. Depuis 2016, le service est la manière standard dont les auteurs de bibliothèques rédigent la ligne d’installation d’un readme, si bien qu’il se propage par la copie d’exemples plutôt que par une adoption délibérée au sens propre du terme.

En octobre 2026, nous détectons Unpkg sur 466 286 sites, dont 200 867 aux États-Unis, et la répartition des suffixes penche vers la zone .com. Là encore, la géographie suit l’hébergement et l’enregistrement des domaines plutôt que la nationalité du développeur qui a collé la balise.

La mise en garde honnête porte ici sur la résolution. Nous enregistrons qu’une page charge des ressources depuis cette origine, mais pas quel paquet elle demande ni si l’appel fige une version. Deux domaines comptés de la même façon peuvent charger l’un un petit utilitaire, l’autre un framework entier, et l’un d’eux peut pointer vers une étiquette flottante qui renverra un code différent le mois prochain. C’est pour cette raison qu’il n’y a pas de champ de version pour cette technologie. La détection dépend aussi de la présence de l’URL dans le balisage servi, si bien que tout ce qui est empaqueté au moment du build ou relayé par le propre domaine du site nous est invisible, et le total doit se lire comme un plancher.

Une requête par domaine renseigne un auditeur sur un site, ce qui suffit quand la question porte sur un site. La liste téléchargeable répond à des questions hors de portée d’une requête. Combien de domaines d’un secteur, d’un pays ou d’une base de clients font appel à un tiers sans contrat dans le chemin critique de rendu. Quels environnements d’hébergement concentrent cette pratique. Savoir si la population grossit ou se vide à mesure que les outils de build deviennent plus simples, ce qui ne devient visible qu’en comparant un instantané à un autre. Pour les fournisseurs qui vendent des chaînes de build, de l’auto-hébergement ou de la surveillance de la chaîne d’approvisionnement, cette population est le marché adressable et non une curiosité.