Scaricare i siti web che utilizzano cdnjs

Informazioni su cdnjs

Quasi nessuno sceglie cdnjs. Arriva dentro un tema, un template o un tutorial che qualcuno ha copiato, e resta perché rimuoverlo richiederebbe capire cosa ne dipende. A ottobre 2026 lo rileviamo su 6.591.943 siti, e la maggior parte di quei proprietari non saprebbe nominarlo.

È proprio questa natura ereditata a renderlo informativo. Una dipendenza che nessuno ha scelto è una dipendenza che nessuno mantiene, quindi la sua presenza indica siti assemblati con parti esistenti più che costruiti con intenzione. Insieme al resto dello stack front-end, aiuta a distinguere i siti costruiti da quelli semplicemente configurati.

C’è una seconda lettura, e pesa di più. Caricare librerie da un’origine di terze parti è una decisione che riguarda la catena di fornitura del software, che qualcuno l’abbia riconosciuta come tale all’epoca oppure no. Ogni sito di questa popolazione esegue codice servito da un’infrastruttura che non controlla, e le implicazioni di sicurezza di questa situazione sono ben documentate. Per chi valuta il rischio legato alle terze parti su un portafoglio di siti, questa popolazione è l’elenco di partenza.

L’origine, in questo caso, appartiene a una grande rete di distribuzione, il che cambia il calcolo del rischio ma non elimina la questione strutturale. La dipendenza è esterna, la versione è fissata nella pagina e il proprietario del sito non ha alcun meccanismo per accorgersi se quella versione fissata diventa inadeguata.

Tra i siti rilevati, 2.783.989 si trovano negli Stati Uniti e in testa c’è l’estensione .com: entrambi i dati seguono l’età e l’origine dei template che lo hanno diffuso più che una qualche preferenza regionale.

La query pratica riguarda quasi sempre una combinazione. Quali siti caricano librerie da un’origine esterna, e hanno anche strumenti di pagamento, e operano anche in un settore regolamentato, e non mostrano alcun segno di manutenzione recente. Ne risulta una rosa ristretta di siti a rischio per la catena di fornitura, ottenuta con quattro filtri su una popolazione completa e non con una singola ricerca.

L’esportazione di webatla rende quei filtri economici perché mette tutti i rilevamenti di un dominio su un’unica riga, ricostruita ogni giorno e da filtrare sul proprio computer.

Il blocco della versione merita un esame più attento, perché è proprio lì che risiede il rischio concreto. Una pagina che richiede una release specifica da un’origine esterna continuerà a richiederla all’infinito, molto tempo dopo che quella release ha mostrato problemi noti. Nel sito nulla se ne accorge, perché nulla sta controllando, e il proprietario non ha alcun meccanismo che possa mai sollevare la questione.

Ne risulta una popolazione misurabile di siti che eseguono codice di terze parti obsoleto, senza un percorso di aggiornamento di cui qualcuno sia responsabile. Per fornitori di sicurezza, auditor e assicuratori, la dimensione e la composizione di questa popolazione sono un numero davvero utile, e non è un dato che la rete di distribuzione potrebbe pubblicare nemmeno volendo, perché la rete vede le richieste e non i siti che stanno dietro di esse.

Cloudflare gestisce il servizio, che è pubblicato con licenza MIT ed è disponibile dal 2011. Un’infrastruttura pubblica gratuita di questo tipo non produce mai un elenco di utenti, perché tra il sito e il servizio non c’è né un account né una registrazione.