Scaricare i siti web che utilizzano SmtpJS

Informazioni su SmtpJS

Un sito che carica la libreria SmtpJS rivela qualcosa sulla propria architettura prima ancora di rivelare qualcosa sulla propria posta elettronica. La libreria SmtpJS invia email dal browser, consegnando il messaggio a un servizio di inoltro dal codice JavaScript lato client, cosa che si fa solo quando non c’è un backend disposto a farlo al proprio posto. Hosting statico, un sito esportato da un website builder, un piano condiviso economico con le funzioni di posta disattivate, una pagina di marketing appoggiata alla meglio su una CDN. La libreria è l’espediente, e l’espediente è il segnale.

Classifichiamo SmtpJS nella categoria Email, il che ne esagera la portata. Nulla qui gestisce liste, campagne o disiscrizioni. L’uso realistico è un modulo di contatto, una notifica d’ordine o un avviso su un sito piccolo, e trattare la nostra categoria Email come una popolazione di strumenti per campagne porterà fuori strada, a meno di separare chi invia dal browser dalle suite di marketing in hosting.

Pubblicata con licenza MIT e disponibile dal 2016, la libreria SmtpJS è banale da adottare: un tag script e un token. La facilità di adozione è anche il suo noto punto debole. Le credenziali consegnate al codice lato client sono visibili a chiunque apra il sorgente della pagina, e questo approccio è stato più volte segnalato come inadatto a qualsiasi uso sensibile. Per un ricercatore di sicurezza la popolazione stessa è la scoperta. Un insieme di domini che inviano email dal browser è un insieme di siti da controllare alla ricerca di credenziali di inoltro esposte e di endpoint di invio che si prestano ad abusi.

Qui i dati di versione sono scarni, e lo diciamo apertamente. Distinguiamo 2 build, e quella che vediamo più spesso è la 3, il che è quanto ci si aspetta da un piccolo script con un unico scopo che è cambiato poco nel corso della sua vita.

A ottobre 2026 rileviamo SmtpJS su 3806 siti. Il rilevamento si basa sull’inclusione dello script, quindi una copia ospitata in proprio con un nome di file diverso, integrata in un bundle o caricata solo su una pagina che non scansioniamo non verrà rilevata. Il conteggio è una stima per difetto, non un censimento.

Quello che l’esportazione offre e una verifica di dominio no è la forma della popolazione: quanti piccoli siti fanno passare la posta attraverso un inoltro lato client, che tipo di domini sono, e se la pratica si sta diffondendo o sta scomparendo da un aggiornamento dei dati all’altro. I team di sicurezza, i fornitori di infrastrutture email e chiunque stia costruendo un sostituto più sicuro e immediatamente intercambiabile hanno bisogno dell’insieme completo, non di un suo campione.