Descarregar sites que utilizam SmtpJS

Sobre SmtpJS

Um site que carrega SmtpJS está a dizer alguma coisa sobre a sua arquitetura antes de dizer o que quer que seja sobre o seu correio. SmtpJS envia mensagens a partir do navegador e entrega-as a um serviço de retransmissão a partir de JavaScript do lado do cliente, o que é uma coisa que só se faz quando não há um backend disposto a fazê-lo por nós. Alojamento estático, uma exportação de um construtor, um plano partilhado barato com as funções de correio desativadas, uma página de marketing pendurada num CDN. A biblioteca é o contorno do problema, e o contorno é o sinal.

Listamos SmtpJS na categoria Email, o que é dizer de mais. Nada aqui gere listas, campanhas ou anulações de subscrição. O uso realista é um formulário de contacto, uma notificação de encomenda ou um alerta num site pequeno, e tratar a nossa categoria Email como uma população de ferramentas de campanha vai induzi-lo em erro a menos que separe os remetentes do lado do navegador das suites de marketing alojadas.

Lançado com licença MIT e disponível desde 2016, SmtpJS é trivial de adotar: uma etiqueta de script e um token. A facilidade de adoção é também a fraqueza bem conhecida. As credenciais entregues a código do lado do cliente ficam visíveis para quem abre o código-fonte da página, e o padrão tem sido repetidamente assinalado como inadequado para o que quer que seja sensível. Para quem investiga segurança, a própria população é o achado. Um conjunto de domínios que envia correio a partir do navegador é um conjunto de sites que vale a pena verificar à procura de credenciais de retransmissão expostas e de pontos de envio passíveis de abuso.

Os dados de versão aqui são escassos, e são honestos quanto a isso. Distinguimos 2 compilações, sendo 3 a que vemos com mais frequência, o que é o que seria de esperar de um script pequeno de propósito único que pouco mudou ao longo da sua vida.

Em outubro de 2026 detetamos SmtpJS em 1201 sites. A deteção assenta na inclusão do script, por isso uma cópia alojada por conta própria num ficheiro renomeado, integrada num pacote, ou carregada apenas numa página que não rastreamos vai escapar-nos. A contagem é um limite inferior e não um censo.

O que a exportação dá e uma consulta de domínio não dá é a forma da população: quantos sites pequenos encaminham correio por uma retransmissão do lado do cliente, que tipo de domínios são, e se a prática está a alastrar ou a desvanecer-se entre publicações de dados. As equipas de segurança, os fornecedores de infraestrutura de correio e quem constrói um substituto direto mais seguro precisam do conjunto e não de uma amostra dele.