Scaricare i siti web che utilizzano Unpkg

Informazioni su Unpkg

Sulla maggior parte dei siti in cui compare, Unpkg arriva tramite un tag script copiato da un readme. Uno sviluppatore aveva bisogno di far girare una libreria nel browser entro pochi minuti, ha puntato un tag verso un mirror pubblico del registro dei pacchetti, e quel tag è arrivato fino alla produzione perché continuava a funzionare. Nessuno ha firmato nulla, nessuno ha aperto un ticket, e in tutta questa sequenza non c’è alcuna decisione che qualcuno sarebbe disposto a difendere durante una revisione.

La conseguenza è una richiesta verso un’origine esterna a ogni caricamento di pagina, nel percorso di rendering, senza alcun contratto. Il servizio è gratuito, offerto con licenza MIT e gestito come una comodità messa a disposizione del pubblico, il che significa che all’interno dell’azienda che ne dipende non esiste alcun accordo di assistenza, nessun impegno di disponibilità e nessuna traccia negli acquisti. I revisori della sicurezza e i team che valutano il rischio dei fornitori guardano proprio a questo tipo di dipendenza, che compare di rado negli inventari interni degli asset perché nessuno l’ha mai registrata.

La presenza dice qualcosa anche su come è costruito il sito. Una pagina che carica le librerie direttamente da un mirror del registro è una pagina che non ha una pipeline di build, oppure ne ha una che il team marketing aggira. Il fenomeno si concentra su prototipi promossi in produzione, siti di documentazione, landing page di campagne e temi per contenuti in cui un redattore ha incollato lo snippet di un widget. Dal 2016 il servizio è il modo standard con cui gli autori di librerie scrivono la riga di installazione in un readme, quindi si propaga copiando gli esempi più che attraverso un’adozione deliberata in senso proprio.

A ottobre 2026 rileviamo Unpkg su 1.513.115 siti, di cui 698.446 si trovano negli Stati Uniti, e la distribuzione delle estensioni è sbilanciata verso .com. Anche qui la geografia segue l’hosting e la registrazione più che la nazionalità dello sviluppatore che ha incollato il tag.

L’avvertenza onesta, in questo caso, riguarda il livello di dettaglio. Registriamo che una pagina richiede risorse da quell’origine, non quale pacchetto richiede né se la richiesta fissa una versione. Due domini conteggiati allo stesso modo possono caricare l’uno una piccola utility e l’altro un intero framework, e uno dei due può puntare a un tag mobile che il mese prossimo restituirà codice diverso. Per questo motivo questa tecnologia non ha un campo versione. Il rilevamento dipende inoltre dalla presenza dell’URL nel markup servito, quindi tutto ciò che viene incluso nel bundle in fase di build o passa tramite proxy dal dominio del sito stesso ci resta invisibile, e il totale va letto come una stima per difetto.

Una verifica sul singolo dominio informa un revisore su un sito, il che va bene quando la domanda riguarda un solo sito. L’elenco scaricabile risponde a domande fuori dalla portata di una verifica puntuale. Quanti domini di un settore, di un paese o di un portafoglio clienti dipendono da una terza parte senza contratto nel percorso critico di rendering. In quali ambienti di hosting si concentra il fenomeno. Se la popolazione cresce o si assottiglia man mano che gli strumenti di build diventano più semplici, il che diventa visibile solo confrontando un’istantanea con un’altra. Per i fornitori che vendono pipeline di build, self-hosting o monitoraggio della supply chain, quella popolazione è il mercato potenziale, non una curiosità.