Öffentliche JavaScript-Source-Maps

Source Maps, die neben den Bundles veröffentlicht sind. Sie geben den unminifizierten Quellcode samt Kommentaren heraus.

• Hilfe

Moderne Frontends liefern minifizierte Bundles aus, und das Build-Tool kann neben jedes eine .map-Datei legen. Die Source Map verknüpft jede Zeile des Bundles mit den Originaldateien und enthält meist deren vollständigen Text – samt Kommentaren und internen Pfaden. Die Entwicklertools im Browser laden sie, damit Debugging lesbar wird; dieselbe Datei bekommt aber jeder, der sie anfragt.

Veröffentlichte Source Maps sind für sich genommen keine Schwachstelle: Das gesamte JavaScript landet ohnehin im Browser. Das Risiko liegt darin, was der Originalcode verrät – versteckte Admin-Routen, Feature-Flags, API-Endpunkte, Entwicklerkommentare, gelegentlich einen Schlüssel, der auf den Server gehört. Deshalb ist die Zeile eine Warnung und kein Fehler.

So prüft SiteScan

Der Scan nimmt das erste Skript, das die Seiten von der Website selbst laden, und ruft dieselbe Adresse mit angehängtem .map auf. Als veröffentlicht gilt sie nur, wenn die 200-Antwort eine echte Source Map enthält: JSON mit "version": 3 und einer "sources"-Liste. Die Zeile nennt dann die Datei.

So beheben Sie es

Deaktivieren Sie Source Maps für die Produktion (build.sourcemap: false in Vite, devtool: false in webpack) oder erzeugen Sie „versteckte“ Maps und laden Sie sie nur in Ihr Error-Tracking hoch. Alternativ sperren Sie *.map am Server. Passend dazu: Drittanbieter-Skripte.