Descarregar sites que utilizam cdnjs

Sobre cdnjs

Quase ninguém escolhe o cdnjs. Chega dentro de um tema, de um modelo ou de um tutorial que alguém copiou, e fica porque removê-lo exigiria perceber o que depende dele. Em outubro de 2026 detetamo-lo em 2 136 437 sites, e a maioria desses donos não o saberia nomear.

Essa qualidade herdada é precisamente o que o torna informativo. Uma dependência que ninguém selecionou é uma dependência que ninguém mantém, por isso a sua presença assinala sites montados a partir de peças existentes e não construídos de propósito. Combinada com o resto da pilha do lado do cliente, ajuda a separar as propriedades que foram construídas das que foram apenas configuradas.

Há uma segunda leitura com mais peso. Carregar bibliotecas a partir de uma origem de terceiros é uma decisão de cadeia de fornecimento, quer alguém a tenha reconhecido como tal na altura, quer não. Todos os domínios desta população estão a executar código servido por uma infraestrutura que não controlam, e as implicações de segurança disso estão bem documentadas. Para quem avalia risco de terceiros numa carteira, esta população é a lista de partida.

A origem aqui pertence a uma grande rede de distribuição, o que muda o cálculo do risco mas não elimina o ponto estrutural. A dependência é externa, está fixada a uma versão dentro da página, e o dono do domínio não tem mecanismo nenhum para dar por isso se a versão fixada deixar de ser apropriada.

Nos Estados Unidos concentram-se 810 381 das deteções e a zona .com lidera, ambos a acompanhar a idade e a origem dos modelos que o transportaram e não qualquer preferência regional.

A consulta prática é quase sempre sobre combinação. Que domínios carregam bibliotecas de uma origem externa, e também trazem ferramentas de pagamento, e também estão num setor regulado, e também não mostram sinais de manutenção recente. É essa a lista curta de risco de cadeia de fornecimento, e são quatro filtros sobre uma população inteira e não uma consulta isolada.

A exportação da webatla entrega esses filtros a baixo custo, pondo todas as deteções de um domínio numa só linha, reconstruída diariamente, filtrada na sua máquina.

A fixação de versão merece um olhar mais atento, porque é aí que está o risco prático. Uma página que peça uma versão específica a uma origem externa continuará a pedi-la indefinidamente, muito depois de essa versão ter problemas conhecidos. Nada no site dá por isso, porque nada está a vigiar, e o dono não tem mecanismo que alguma vez levante a questão.

Daí resulta uma população mensurável de domínios a executar código de terceiros desatualizado, sem um caminho de atualização pelo qual alguém seja responsável. Para os fornecedores de segurança, os auditores e as seguradoras, a dimensão e a composição dessa população são um número genuinamente útil, e não é algo que a rede de distribuição pudesse publicar mesmo que quisesse, porque a rede vê pedidos e não os domínios por trás deles.

A Cloudflare opera o serviço, que é publicado com licença MIT, disponível desde 2011. A infraestrutura pública e gratuita deste tipo nunca produz uma lista de utilizadores, porque não há conta nem registo entre o site e o serviço.