[Raphael]

Am sichersten ist es, wenn es über MyCode läuft, da dort dann nur HTML erzeugt wird, was keine direkte Angriffsfläche bietet.
Es kommt also ganz drauf an, was du konkret machen möchtest. Schließlich sind nicht alle HTML-Elemente in einer Signatur sinnvoll.