Descarregar sites que utilizam Unpkg

Sobre Unpkg

Uma etiqueta de script copiada de um ficheiro leia-me é a forma como Unpkg chega à maioria dos sites que o carregam. Um programador precisava de uma biblioteca a funcionar num navegador nos minutos seguintes, apontou uma etiqueta para um espelho público do registo de pacotes, e a etiqueta sobreviveu até produção porque continuou a funcionar. Ninguém assinou nada, ninguém abriu um pedido interno, e nada nessa sequência envolve uma decisão que alguém defendesse numa revisão.

A consequência é um pedido a uma origem externa em cada carregamento de página, no caminho de renderização, sem contrato nenhum. O serviço é gratuito, oferecido com licença MIT e operado como conveniência pública, o que significa que não há acordo de suporte, não há compromisso de disponibilidade e não há registo de aquisição dentro da empresa que depende dele. Os revisores de segurança e as equipas de risco de fornecedores preocupam-se exatamente com esta forma de dependência, e ela raramente aparece num inventário interno de ativos porque ninguém a registou.

A presença diz também algo sobre a forma como o site é construído. Uma página que puxa bibliotecas diretamente de um espelho do registo é uma página que ou não tem cadeia de construção, ou tem uma que a equipa de marketing contorna. O padrão agrupa-se à volta de protótipos promovidos a produção, sites de documentação, páginas de campanha e temas de conteúdo onde um editor colou um excerto de widget. Desde 2016 que o serviço é a forma habitual dos autores de bibliotecas escreverem a linha de instalação num leia-me, por isso propaga-se por cópia de exemplos e não por adoção em qualquer sentido deliberado.

Em outubro de 2026 detetamos Unpkg em 466 286 sites, nos Estados Unidos concentram-se 200 867 deles e a mistura de sufixos inclina-se para .com. A geografia volta a seguir o alojamento e o registo, e não a nacionalidade do programador que colou a etiqueta.

A ressalva honesta aqui é de resolução. Registamos que uma página pede recursos à origem, mas não qual o pacote pedido nem se esse pedido fixa uma versão. Dois domínios contados da mesma maneira podem estar a carregar um pequeno utilitário e uma framework inteira, e um deles pode estar a resolver para uma etiqueta flutuante que devolve código diferente no mês seguinte. É por essa razão que esta tecnologia não tem campo de versão. A deteção depende também do URL aparecer na marcação servida, por isso tudo o que seja empacotado no momento da construção ou passado por proxy através do domínio próprio do site fica invisível para nós, e o total deve ser lido como um limite inferior.

Uma consulta por domínio conta a um revisor a história de um site, o que chega quando a pergunta é sobre um site. A lista descarregável responde a perguntas que uma consulta não alcança. Quantos domínios de um setor, de um país ou de uma base de clientes carregam um terceiro sem contrato no caminho crítico de renderização. Que ambientes de alojamento concentram o padrão. Se a população está a crescer ou a esvaziar-se à medida que as ferramentas de construção ficam mais fáceis, coisa que só se torna visível comparando um instantâneo com outro. Para os fornecedores que vendem cadeias de construção, alojamento próprio ou monitorização da cadeia de fornecimento, essa população é o mercado endereçável e não uma curiosidade.