Тянете ли вы ещё polyfill.io? Как проверить за минуту

В 2024 у CDN сменился владелец, и скрипт стал опасным. Многие сайты до сих пор его подключают. Ниже — простыми словами, что случилось и как проверить.

Polyfill.io долго был обычной библиотекой «для старых браузеров». Разработчики вставляли одну строчку на сайт и забывали. Потом домен купила другая компания. Исследователи Sansec написали: скрипт с этого адреса начал вести себя плохо — в том числе уводить посетителей на чужие страницы.

Дальше подключился бизнес-эффект. Google начал ругать рекламу сайтов, которые всё ещё тянули этот скрипт. То есть проблема не только «вдруг взломали», а ещё и «реклама не проходит, трафик падает». Владельцу магазина это больнее абстрактного CVE.

Самое обидное: многие про новость слышали, а ссылка на polyfill.io осталась в теме, в старом плагине или в копипасте из гайда 2018 года. Сайт «вроде работает», а опасный адрес всё ещё в HTML.

Рядом в тех же разборах часто называли bootcdn, bootcss и staticfile — их связывали с той же сетью. Если чистите polyfill, имеет смысл проверить и их.

Orb44 не лезет в админку и не обещает, что сайт «полностью безопасен». Мы открываем публичную главную, смотрим адреса скриптов и ищем polyfill.io. Есть — красный ответ. Нет на снятой главной — зелёный. Этого хватает, чтобы понять, пора ли чистить код.

Если ответ красный: уберите скрипт из темы и плагинов, проверьте кэш/минификаторы, снова прогоните проверку. Современным браузерам этот polyfill чаще всего уже не нужен.

Проверка: orb44.com/polyfill. Похожие CDN: bootcdn / staticfile. Разбор: Sansec.

Простыми словами: сначала ответьте на один понятный вопрос по своей витрине, и только потом решайте, нужен ли длинный разбор. Минутная проверка лучше недели догадок.

Держите планку честно. Зелёный ответ на узкой проверке — не сертификат «безопасно навсегда». Это только то, что мы увидели на открытой странице прямо сейчас.

Если ответ красный — сначала уберите конкретную причину: лишний скрипт, открытую дверь сбоку, пометку в списке. Потом проверьте ещё раз. Скриншот в чат админов работает лучше туманной тревоги.

Отправьте ссылку на проверку тому, кто реально отвечает за сайт. Владельцы гуглят симптомы. Админам нужен простой ответ, по которому можно действовать сегодня.

Мы специально пишем без тяжёлых терминов: меньше путаницы, больше действий. Если после проверки останутся вопросы — полный снимок в кабинете собирает улицу шире, чем одна публичная страница.