Scaricare i siti web che utilizzano jQuery CDN

Informazioni su jQuery CDN

jQuery CDN non è una libreria, e trattare questo record come se lo fosse porta dritti alla conclusione sbagliata. La voce descrive in realtà un arco in un grafo: una pagina che scarica uno script da una rete di distribuzione gestita da qualcun altro. Il codice che arriva è jQuery. La rilevazione riguarda la provenienza di quel codice.

Un sito che ospita una propria copia e un sito che preleva lo stesso file da una rete pubblica eseguono codice identico e comportano rischi del tutto diversi. Il secondo ha concesso a una terza parte la possibilità di servire codice eseguibile nelle proprie pagine, ha inserito nel percorso di rendering una risoluzione DNS e una connessione verso un host che non controlla, e ha reso la propria disponibilità in parte dipendente dall’uptime di qualcun altro. La gestione della libreria spetta a OpenJS Foundation, che la distribuisce con licenza MIT, e questo schema di distribuzione risale al 2006 circa, un’epoca abbastanza lontana perché moltissimi di questi tag siano stati scritti prima che qualcuno pensasse abitualmente alla subresource integrity.

A ottobre 2026 registriamo lo schema su 2.383.656 siti e lo classifichiamo nella categoria CDN. Dei siti rilevati, 955.611 si trovano negli Stati Uniti, e l’estensione .com raccoglie gran parte del volume, una distribuzione che riflette dove circolavano i tutorial e gli snippet da copiare e incollare dell’epoca più che una qualche necessità tecnica, dato che il file è piccolo e servirlo in locale non è mai stato difficile.

Il pubblico di un elenco come questo è insolitamente specifico. I team che si occupano della sicurezza della supply chain vogliono ogni sito che esegue codice da un’origine non controllata dal suo proprietario, perché lo scenario di guasto di una rete di distribuzione è un singolo script sostituito che raggiunge in un colpo solo un numero enorme di pagine. Il lavoro sulle content security policy richiede lo stesso inventario, dato che ognuno di questi tag è un’origine esterna autorizzata nella policy di qualcuno e una posizione che l’autore della policy deve difendere. I consulenti di performance lo vogliono perché un caricamento cross-origin nel percorso di rendering ha smesso di ripagarsi quando i browser hanno partizionato le proprie cache, e la vecchia giustificazione secondo cui i visitatori avrebbero già avuto il file da un altro sito non vale più.

Nessuna di queste domande trova risposta un dominio alla volta. Una verifica puntuale dice che una singola pagina fa riferimento a una rete di distribuzione, cosa che l’ispettore del browser avrebbe mostrato più in fretta e gratis. L’elenco scaricabile risponde alla versione aggregata della domanda: quanti siti dipendono da una data origine di terze parti, come questa dipendenza si distribuisce tra paesi ed estensioni di dominio, e quali altre tecnologie la accompagnano. È questo che trasforma una curiosità in un registro dei rischi, in un audit delle policy o in una stima di mercato.

I limiti vanno dichiarati con chiarezza. Diverse reti servono la stessa libreria, quindi un’unica etichetta indica se una pagina preleva la libreria da una rete pubblica, non quale rete abbia scelto, a meno che nell’esportazione non compaia un campo più dettagliato. I tag iniettati in fase di esecuzione da un altro script possono sfuggire a un crawler che non esegue tutto ciò che eseguirebbe un browser completo, il che abbassa il conteggio. Inoltre una pagina può fare riferimento a un’origine che nessun visitatore raggiunge mai, perché il tag si trova in un percorso di template che nessuno carica, per cui il record descrive ciò che una pagina dichiara di sé più che ciò che una sessione reale scarica necessariamente.