Live-Webinar auf EnglischWebinar mit Jason Lee, Mi., 14. Okt.Your newest insider is an AI agent.Jason LeeFormer CISO, Zoom & SplunkAnmelden

OSS-Lizenzen, eingeordnet, bevor Legal fragt.

Jede Lizenz Ihrer Abhängigkeiten klassifiziert, und Ihre Rechtsrichtlinie auf jede angewendet.

Cloud testenDemo buchen
checkout-apiLizenz-ComplianceDemo-Projekt
  • Blockiertitext7-core 8.0.5pom.xml

    In pom.xml als AGPL-3.0-only gelesen, ein starkes Copyleft.

    <name>GNU Affero General Public License v3</name>

    Starkes Copyleft: standardmäßig blockiert, auch transitiv.

Ihre Richtlinie, auf jedes Paket angewendet.

  • Vier Familien

    • MIT
    • LGPL-2.1
    • GPL-3.0
    • AGPL-3.0

  • SPDX-Ausdrücke

    • MIT OR GPL-3.0
    • Apache-2.0 AND BSD-3-Clause

  • Ihre Anpassungen

    • LGPL-2.1 → permissive

  • Ignorierte Pakete

    • @acme/internal-*
    • test/fixtures/**

Ihre Richtlinie entscheidet, was gemeldet wird.

Jedes Paket gemeldet

  • Alarm: itext7-core 8.0.5
  • Alarm: jszip 3.10.1
  • Alarm: hibernate-core 6.6.1.Final
  • Alarm: @acme/billing-utils 1.2.0

Ihre Richtlinie angewendet

  • Blockiert: itext7-core 8.0.5pom.xml
  • Erlaubt: jszip 3.10.1OR behält die am wenigsten restriktive Option.
  • Erlaubt: hibernate-core 6.6.1.FinalIhr Org-Override: LGPL-2.1 gilt als permissiv.
  • Unbekannt: @acme/billing-utils 1.2.0Keine Lizenz deklariert: Der SPDX-Identifier wird von Hand zugewiesen.

Kein zusätzlicher Job.

Aus den Manifesten des SCA-Scans gelesen, neben Ihren Schwachstellen.

  1. SCA-ScanManifeste, bei jedem Push gelesen.Gelesen
  2. SPDXJede Lizenz in einer von vier Familien.Klassifiziert
  3. Ihre RichtlinieIhre Anpassungen und Sperren, angewendet.Blockiert
  4. BerichtUnbekannte Lizenzen zuerst, nach Team gefiltert.Fertig

Beginnen Sie mit einem Repository.

Verbinden Sie GitHub, GitLab, Bitbucket oder Azure DevOps, wählen Sie ein Repository, und der erste Scan startet.

Cloud testenDemo buchen

Im Detail

Jede Lizenz im Baum, klassifiziert.

Die Lizenzerkennung nutzt das Manifest-Parsing des SCA-Scans mit, und die Ergebnisse stehen neben den Schwachstellen-Findings.

  • Vier Familien

    Über 100 Lizenzen vorab klassifiziert, transitive Abhängigkeiten eingeschlossen.

  • SPDX-Ausdrücke

    OR wählt die am wenigsten restriktive Option, AND die strengste, WITH wendet die Ausnahme an.

  • Ihre Anpassungen

    LGPL-2.1 einmal als permissiv einstufen, und jedes Projekt folgt.

  • Eigene Lizenzen

    Interne Lizenzen oder Lieferantenlizenzen, neben den Open-Source-Lizenzen verfolgt.

  • Ignorierte Pakete

    Interne Module, Test-Fixtures und reine Entwicklungswerkzeuge, beiseitegelegt.

  • Jedes Ökosystem

    npm, Yarn, pnpm, Bun, Deno, pip, Poetry, Pipenv, Maven, Gradle, Go modules, NuGet, Composer, Cargo, CocoaPods, Swift PM, Pub, Hex, RubyGems, Conan, Clojars und GitHub Actions.

Alles, was er prüft

Vier Familien, Ihre Regeln obendrauf.

Jede SPDX-Kennung gehört zu einer Familie, die Ihre Rechtsabteilung verantwortet. Ausdrücke werden aufgelöst, über Overrides entscheiden Sie.

  • Permissiv

    Nutzen, ändern, ausliefern. Nur der Lizenzhinweis muss bleiben.

    Erlaubt

  • Schwaches Copyleft

    Änderungen an der Bibliothek werden offengelegt. Ihr eigener Code bleibt Ihrer.

    Prüfen

  • Starkes Copyleft

    Einbinden heißt, den Code Ihres Produkts offenzulegen. Standardmäßig blockiert, auch transitiv.

    Blockiert

  • Unbekannt

    Kein SPDX in den Metadaten, ein eigener Text, ein kaputtes Feld. Jemand muss es lesen.

    Nachfragen

  • SPDX-Ausdrücke, aufgelöst

    OR wählt die am wenigsten restriktive Option, AND behält die strengste, WITH wendet die Ausnahme an.

  • Ihr Override

    Die Rechtsabteilung hat LGPL-2.1 für die ganze Organisation freigegeben? Einmal festlegen, jedes Projekt übernimmt es.

Sechs Punkte, ein Legal-Report.

SPDX-Extraktion, Risiko je Lizenzausdruck, Overrides für die ganze Organisation und Ausnahmen pro Paket.

  • Automatische SPDX-Extraktion bei jedem SCA-Scan

    Lizenzen werden beim Scan aus den Paket-Metadaten gelesen. Sie müssen weder einen zusätzlichen Job planen noch ein separates Tool installieren.

  • Vier Risikokategorien, über 100 Lizenzen vorklassifiziert

    Permissiv (MIT, Apache-2.0, BSD-2-Clause, ISC), schwaches Copyleft (LGPL-2.1, MPL-2.0, EPL-2.0), starkes Copyleft (GPL-3.0, AGPL-3.0, SSPL-1.0) oder unbekannt, wenn das Manifest keine Angabe macht.

  • Parser für SPDX-Ausdrücke: OR, AND, WITH

    MIT OR GPL-3.0-only wird zur am wenigsten restriktiven Option aufgelöst (permissiv).

  • Overrides auf Organisationsebene

    Stuft Ihre Rechtsabteilung LGPL-2.1 als permissiv ein, ändern Sie das einmal auf Organisationsebene, und jedes Projekt übernimmt die neue Einstufung sofort.

  • Manuelle Zuordnung unbekannter Lizenzen

    Deklariert das Manifest keine Lizenz, landet das Paket in der Kategorie Unbekannt.

  • Interne oder reine Test-Pakete ignorieren

    Setzen Sie das Ignore-Flag an jedem beliebigen Paket. Interne Monorepo-Module, Test-Fixtures, reines Dev-Tooling.

Risiko, das Sie vor Legal vertreten können.

  • Auf Ihre Rechtsabteilung abgestimmt

    Jede SPDX-Kennung wird einer Kategorie zugeordnet, die Ihr Team selbst verantwortet. Standardwerte überschreiben, eigene proprietäre Lizenzen hinzufügen, bei jeder Policy-Änderung zurücksetzen.

  • Kein zusätzlicher Job

    Die Lizenz-Extraktion nutzt denselben Parsing-Schritt für Manifeste, den der SCA-Scan ohnehin ausführt.

  • Filterbar für jedes Team

    Das Engineering filtert nach Branch und Ökosystem, um sich auf den eigenen Verantwortungsbereich zu konzentrieren.

Vom Fund zur Richtlinie

  • GPL-3.0 im Baum.

    Ein starkes Copyleft, transitiv eingeschleppt.

  • Beurteilt nach Richtlinie.

    SPDX aufgelöst, Ihre Ausnahmen angewendet.

  • Freigegeben oder ersetzt.

    Owner zugewiesen, Legal einverstanden, Bericht erstellt.

Was Teams fragen, bevor sie es aktivieren.

Wie wird das Risiko einer Lizenz eingestuft?
Jede SPDX-Kennung gehört zu einer von vier Kategorien: permissiv, schwaches Copyleft, starkes Copyleft oder unbekannt. Grundlage ist eine integrierte Klassifizierung mit über 100 Lizenzen. Organisationen können jede Einstufung an ihre rechtlichen Vorgaben anpassen; Overrides gelten sofort für jedes Projekt der Organisation.
Was passiert, wenn ein Paket keine erkannte Lizenz hat?
Das Paket landet in der Kategorie Unbekannt. In der Lizenzübersicht öffnen Sie das Paket und vergeben die richtige SPDX-Kennung von Hand; das Paket wird daraufhin neu eingestuft und in den richtigen Zählern der Übersicht erfasst. Unbekannte Lizenzen erscheinen im Dashboard ganz oben, damit sie sich nicht unbemerkt ansammeln.
Verlangsamt die Lizenzerkennung den SCA-Scan?
Nein. Die Lizenz-Extraktion nutzt denselben Parsing-Schritt für Manifeste, den der SCA-Scan ohnehin ausführt. Kein separater Job, keine zweite Pipeline, kein zusätzliches Scan-Fenster. Die Lizenzdaten erscheinen im selben Dashboard neben den Schwachstellen-Findings.
Können wir eigene proprietäre Lizenzen hinzufügen?
Ja. Auf Organisationsebene lassen sich eigene Einträge mit frei gewählter Einstufung anlegen (permissiv, schwaches Copyleft, starkes Copyleft oder unbekannt). Nützlich für interne Lizenzen oder Lieferantenverträge, die nicht in SPDX enthalten sind, aber zusammen mit den Open-Source-Lizenzen erfasst werden müssen.
Wie werden komplexe SPDX-Ausdrücke ausgewertet?
OR wählt die am wenigsten restriktive Option (`MIT OR GPL-3.0-only` → effektives Risiko: keines). AND wählt die restriktivste Option (`MIT AND GPL-3.0-only` → effektives Risiko: hoch). WITH bewertet die Basislizenz mit der angewandten Ausnahme (`GPL-2.0-only WITH Classpath-exception-2.0` → GPL-2.0 mit Classpath-Ausnahme). Das Dashboard zeigt sowohl den ursprünglichen Ausdruck als auch die ermittelte Kategorie.