Jede Dependency. Direkt, transitiv, mit komplexen SPDX-Ausdrücken. Kategorisiert als Permissive / Weak Copyleft / Strong Copyleft / Unknown. Passen Sie die Regeln an Ihre Legal-Posture an, ignorieren Sie interne Pakete, liefern Sie ohne Überraschungen aus.
Automatische SPDX-Extraktion, ausdrucksbewusste Risiko-Bewertung, Organisations-Overrides, manuelle Zuordnung für Unknowns, Ignore pro Paket und Ökosystem-Filter. Alles, was Legal braucht, direkt neben den SCA-Findings.
Lizenzen werden zur Scan-Zeit aus den Paket-Metadaten gezogen. Kein zusätzlicher Job zu planen, kein separates Tool zu installieren. Direkte Dependencies, transitive Dependencies und Dev-Dependencies tragen ihren erkannten SPDX-Identifier ins Dashboard.
Permissive (MIT, Apache-2.0, BSD-2-Clause, ISC), Weak Copyleft (LGPL-2.1, MPL-2.0, EPL-2.0), Strong Copyleft (GPL-3.0, AGPL-3.0, SSPL-1.0) oder Unknown, wenn das Manifest schweigt. Eingebaute Defaults, die Legal-Teams direkt erkennen.
MIT OR GPL-3.0-only löst zur am wenigsten restriktiven Option auf (Permissive). MIT AND GPL-3.0-only löst zur restriktivsten auf (High). GPL-2.0-only WITH Classpath-exception-2.0 bewertet die Basis mit angewandter Ausnahme.
Behandelt Ihr Legal-Team LGPL-2.1 als Permissive, überschreiben Sie das einmal auf Org-Ebene, und jedes Projekt erbt die neue Klassifizierung sofort. Zurücksetzen auf die Defaults, wann immer sich die Policy ändert.
Deklariert das Manifest keine Lizenz, landet das Paket im Unknown-Bucket. Wählen Sie den korrekten SPDX-Identifier aus dem Dropdown, und das Paket wird automatisch neu kategorisiert.
Setzen Sie das Ignore-Flag an jedem beliebigen Paket. Interne Monorepo-Module, Test-Fixtures, reines Dev-Tooling. Sie verschwinden aus dem License-Summary, bleiben aber im Detail-View sichtbar.
Drei Gründe, warum Engineering, Security und Legal am selben Dashboard landen statt in drei verschiedenen Spreadsheets.
Jeder SPDX-Identifier wird einer Kategorie zugeordnet, die Ihr Team selbst verantwortet. Defaults überschreiben, eigene proprietäre Lizenzen hinzufügen, bei jeder Policy-Änderung zurücksetzen. Ohne die Plattform zu verlassen.
Die License-Extraktion teilt sich den Manifest-Parse-Step, den der SCA-Scan eh schon macht. Gleicher Trigger, gleiches Scan-Fenster, keine zweite Pipeline zu pflegen.
Das Engineering filtert nach Branch und Ökosystem, um sich auf den eigenen Verantwortungsbereich zu konzentrieren. Die Rechtsabteilung filtert nach Risiko, um GPL- oder AGPL-Exposure zu prüfen. Beide arbeiten an derselben Source of Truth.
License-Extraktion läuft bei jedem SCA-Scan über npm / Yarn / pnpm / Bun / Deno, pip / Poetry / Pipenv, Maven / Gradle, Go Modules, NuGet, Composer, Cargo, CocoaPods / Swift PM, Pub, Hex, RubyGems, Conan, Clojars und GitHub Actions.
Alle Integrationen ansehenJeder SPDX-Identifier mappt auf eine von vier Kategorien: Permissive, Weak Copyleft, Strong Copyleft oder Unknown. Basis ist eine eingebaute Klassifizierung mit 100+ Lizenzen. Organisationen können jede Klassifizierung passend zur Legal-Policy überschreiben; Overrides greifen sofort für jedes Projekt der Organisation.
Das Paket landet im Unknown-Bucket. Im License-Summary öffnen Sie das Paket und vergeben den korrekten SPDX-Identifier manuell; das Paket wird daraufhin neu kategorisiert und speist die richtigen Counter im Summary. Unknown-Lizenzen tauchen im Dashboard zuerst auf, damit sie sich nicht unbemerkt ansammeln.
Nein. Die License-Extraktion nutzt den Manifest-Parse-Step wieder, den der SCA-Scan eh ausführt. Kein separater Job, keine zweite Pipeline, kein zusätzliches Scan-Fenster. License-Daten erscheinen im selben Dashboard neben den Vulnerability-Findings.
Ja. Die Konfiguration auf Org-Ebene akzeptiert eigene Einträge mit gewählter Klassifizierung (Permissive, Weak Copyleft, Strong Copyleft oder Unknown). Nützlich für In-House-Lizenzen oder Vendor-Verträge, die nicht zu SPDX gehören, aber neben Open-Source-Lizenzen getrackt werden müssen.
OR wählt die am wenigsten restriktive Option (`MIT OR GPL-3.0-only` → effektives Risiko None). AND wählt die restriktivste Option (`MIT AND GPL-3.0-only` → effektives Risiko High). WITH bewertet die Basis-Lizenz mit angewandter Ausnahme (`GPL-2.0-only WITH Classpath-exception-2.0` → GPL-2.0 mit Classpath-Exception). Das Dashboard zeigt sowohl den Roh-Ausdruck als auch die aufgelöste Kategorie.
Ein Befehl verdrahtet jeden Coding-Agenten auf Ihrem Rechner mit CybeDefend: Ihre Business Rules, Ihre Compliance-Frameworks und Guards, die destruktive Aufrufe blockieren, bevor sie ausgelöst werden.
npx -y @cybedefend/vibedefend@latest install
Claude Code
Cursor
OpenAI Codex
Windsurf
VS Code Copilot