JavaScript-Bibliotheken

Was geprüft

Erkannt werden JavaScript-Bibliotheken samt Version aus Pfad und Dateiname der eingebundenen Skripte (bei WordPress-Kerndateien aus dem Parameter ?ver=); abgeglichen werden sie mit einer festen, versionierten Fassung der retire.js-Datenbank. Dateiinhalte werden nicht geladen; Bibliotheken ohne Versionsangabe in der Adresse bleiben unerkannt. Bekannte Lücken sind auffällig, mit der Schwere aus der Datenbank.

Wie relevant

Zählt nicht zum Gesamtwert: Die Kategorie DNS und Technologien fließt nicht in die Wertung ein. Eine bekannte Lücke wird trotzdem als auffälliger Punkt markiert, mit der Schwere aus der Datenbank (Kritisch, Hoch, Mittel oder Niedrig). Ob eine bekannte Lücke auf dieser Website ausnutzbar ist, hängt davon ab, welche Funktionen der Bibliothek die Seite verwendet; das lässt sich von außen nicht messen.

Warum

Veraltete Bibliotheken wie alte jQuery-Versionen sind ein häufiges Ziel automatisierter Angriffe, weil die Lücken öffentlich beschrieben sind. Aktuelle Versionen sind zudem oft kleiner und schneller.

Wie beheben

Aktualisieren Sie die Bibliothek oder die Software, die sie mitbringt (CMS, Theme, Plugin). Wird die Bibliothek gar nicht mehr gebraucht, entfernen Sie sie. Bei Einbindung über ein CDN ändern Sie die Versionsnummer in der Adresse und die integrity-Prüfsumme.

Nebenwirkung: Sprünge über mehrere Hauptversionen (etwa jQuery 1 auf 3) können ältere Themes und Plugins brechen. Testen Sie das Update in einer Kopie der Website, achten Sie auf Fehler in der Browserkonsole und leeren Sie danach Seiten- und CDN-Cache.

WordPress: jQuery, jQuery Migrate, Underscore und Backbone liefert der WordPress-Kern; sie werden mit WordPress-Updates aktualisiert. Ältere Versionen stammen meist von einem Theme oder Plugin, das eine eigene Kopie einbindet; dort hilft ein Update oder ein Ersatz.

Codebeispiel

HTML (Bibliothek über CDN mit fester Version)

<script src="https://code.jquery.com/jquery-3.7.1.min.js"
        integrity="sha384-PRÜFSUMME"
        crossorigin="anonymous"></script>

Weiterführende Quellen

Quellen der Methodik

docs/SCORING.md — Status und Schweregrade (§2), Kategoriescore und Abdeckung (§3), Gesamtwert (§4), keine Doppelabzüge (§5), Prüfkatalog mit Gewichten (§6), Versionierung (§8), Formulierungsregeln (§9), bewusst nicht geprüft (§10)
docs/KALIBRIERUNG.md — Abgleich der Schwerefaktoren und Kappen mit externen Ankern (Web Almanac, Lighthouse, MDN HTTP Observatory, SSL Labs), Entscheidung scoring@1.4.0