erlaubt
Permissiv
Nutzen, ändern, ausliefern. Nur der Lizenzhinweis muss bleiben.
MITApache-2.0BSD-3-ClauseISC0BSD
Code-to-Cloud-Versicherung.
Flaggschiff
VibeDefend
Lernt die Regeln Ihres Projekts, prüft jeden Prompt und sorgt dafür, dass der Agent von Anfang an sicheren Code schreibt.
KI-Agenten
Scanner
- AI SASTStatische Analyse mit Reachability
- SCAAbhängigkeiten + Lizenzrisiko
- Secret DetectionTokens abfangen, bevor sie im Commit landen
- Lizenz-ComplianceOpen-Source-Lizenzrisiko, klassifiziert
- AI IaCTerraform · Cloudformation · Ansible · K8s
- Container SecurityImage-Scan + Runtime-Kontext
- AI CI/CDGitHub Actions · GitLab CI · Jenkinsfile · Tekton
- AI-BOMAI Bill of Materials · EU AI Act + NIST AI RMF
OSS-Lizenzen, bevor Legal fragt.
Jede Abhängigkeit, direkt und transitiv, klassifiziert und an die Vorgaben Ihrer Rechtsabteilung anpassbar.
pipansible-core@2.17.5GPL-3.0-or-latercheckingblockiert
npmsharp@0.33.5Apache-2.0checkingerlaubt
mavenhibernate-core@6.6.1LGPL-2.1-onlycheckingprüfen
pipnumpy@2.1.2BSD-3-Clausecheckingerlaubt
mavenitext7-core@8.0.5AGPL-3.0-onlycheckingblockiert
npmexpress@4.21.2MITcheckingerlaubt
Seit Beginn des Scans
- 3erlaubt
- 1prüfen
- 2blockiert
- 0nachfragen
Vier Familien,
Ihre Regeln obendrauf.
Jede SPDX-Kennung gehört zu einer Familie, die Ihre Rechtsabteilung verantwortet. Ausdrücke werden aufgelöst, über Overrides entscheiden Sie.
prüfen
Schwaches Copyleft
Änderungen an der Bibliothek werden offengelegt. Ihr eigener Code bleibt Ihrer.
LGPL-2.1MPL-2.0EPL-2.0blockiert
Starkes Copyleft
Einbinden heißt, den Code Ihres Produkts offenzulegen. Standardmäßig blockiert, auch transitiv.
GPL-2.0GPL-3.0AGPL-3.0nachfragen
Unbekannt
Kein SPDX in den Metadaten, ein eigener Text, ein kaputtes Feld. Jemand muss es lesen.
no SPDXSEE LICENSE INcustomSPDX
SPDX-Ausdrücke, aufgelöst
OR wählt die am wenigsten restriktive Option, AND behält die strengste, WITH wendet die Ausnahme an.
MIT OR GPL-3.0-only(Apache-2.0 AND MIT)GPL-2.0-only WITH Classpath-exception-2.0Override
Ihr Override
Die Rechtsabteilung hat LGPL-2.1 für die ganze Organisation freigegeben? Einmal festlegen, jedes Projekt übernimmt es.
LGPL-2.1 → permissiveorg-wideWas geliefert wirdJede Einstufung,
Jede Einstufung,
mit der Regel dahinter.
SPDX-Extraktion, Risiko je Lizenzausdruck, Overrides für die ganze Organisation und Ausnahmen pro Paket.
npm
express4.21.2package.json
"license": "MIT"MITpermissiverlaubt
Beim SCA-Scan aus package.json gelesen: MIT ist permissiv.
Warum Platform-Teams CybeDefend für License Compliance wählenRisiko, das Sie
Risiko, das Sie
vor Legal vertreten können.
Kein zusätzlicher Job
Die Lizenz-Extraktion nutzt denselben Parsing-Schritt für Manifeste, den der SCA-Scan ohnehin ausführt.
SCA-ScanManifest-ParsingSchwachstellenLizenzen
Auf Ihre Rechtsabteilung abgestimmt
Jede SPDX-Kennung wird einer Kategorie zugeordnet, die Ihr Team selbst verantwortet. Standardwerte überschreiben, eigene proprietäre Lizenzen hinzufügen, bei jeder Policy-Änderung zurücksetzen.
MPL-2.0schwaches CopyleftStandardLicenseRef-acme-eulapermissiveigeneEPL-2.0permissivOverrideFilterbar für jedes Team
Das Engineering filtert nach Branch und Ökosystem, um sich auf den eigenen Verantwortungsbereich zu konzentrieren.
express4.21.2MITerlaubtaxe-core4.10.0MPL-2.0prüfenffmpeg-static5.2.0GPL-3.0-or-laterblockiertLicense Compliance · 14 ÖkosystemeVon npm bis NuGet,
Von npm bis NuGet,
von Hex bis Conan.
Die Lizenz-Extraktion läuft bei jedem SCA-Scan, in jedem dieser Ökosysteme.
npm · Yarn · pnpm · Bun · Deno
package.json"express": "^4.21.2"express4.21.2MITerlaubtZeigen Sie auf ein Ökosystem, um eine echte Abhängigkeit mit ihrer Lizenz zu sehen.Tippen Sie auf ein Ökosystem, um eine echte Abhängigkeit mit ihrer Lizenz zu sehen.
So funktioniert es,
im Detail.
Die Dokumentation führt Sie durch Einrichtung, Konfiguration und alle Optionen.
Dokumentation lesenauf EnglischPlatform Overview / Key Features
License Compliance
Lizenzkategorien, SPDX-Ausdrücke, manuelle Anpassungen, organisationsweite Klassifizierungen und unterstützte Ökosysteme.
License Compliance · FAQ
Was Teams fragen, bevor sie es aktivieren.
Wie wird das Risiko einer Lizenz eingestuft?
Jede SPDX-Kennung gehört zu einer von vier Kategorien: permissiv, schwaches Copyleft, starkes Copyleft oder unbekannt. Grundlage ist eine integrierte Klassifizierung mit über 100 Lizenzen. Organisationen können jede Einstufung an ihre rechtlichen Vorgaben anpassen; Overrides gelten sofort für jedes Projekt der Organisation.
Was passiert, wenn ein Paket keine erkannte Lizenz hat?
Das Paket landet in der Kategorie Unbekannt. In der Lizenzübersicht öffnen Sie das Paket und vergeben die richtige SPDX-Kennung von Hand; das Paket wird daraufhin neu eingestuft und in den richtigen Zählern der Übersicht erfasst. Unbekannte Lizenzen erscheinen im Dashboard ganz oben, damit sie sich nicht unbemerkt ansammeln.
Verlangsamt die Lizenzerkennung den SCA-Scan?
Nein. Die Lizenz-Extraktion nutzt denselben Parsing-Schritt für Manifeste, den der SCA-Scan ohnehin ausführt. Kein separater Job, keine zweite Pipeline, kein zusätzliches Scan-Fenster. Die Lizenzdaten erscheinen im selben Dashboard neben den Schwachstellen-Findings.
Können wir eigene proprietäre Lizenzen hinzufügen?
Ja. Auf Organisationsebene lassen sich eigene Einträge mit frei gewählter Einstufung anlegen (permissiv, schwaches Copyleft, starkes Copyleft oder unbekannt). Nützlich für interne Lizenzen oder Lieferantenverträge, die nicht in SPDX enthalten sind, aber zusammen mit den Open-Source-Lizenzen erfasst werden müssen.
Wie werden komplexe SPDX-Ausdrücke ausgewertet?
OR wählt die am wenigsten restriktive Option (`MIT OR GPL-3.0-only` → effektives Risiko: keines). AND wählt die restriktivste Option (`MIT AND GPL-3.0-only` → effektives Risiko: hoch). WITH bewertet die Basislizenz mit der angewandten Ausnahme (`GPL-2.0-only WITH Classpath-exception-2.0` → GPL-2.0 mit Classpath-Ausnahme). Das Dashboard zeigt sowohl den ursprünglichen Ausdruck als auch die ermittelte Kategorie.
VibeDefend installieren in 5 Sekunden.
Ein einziger Befehl verbindet jeden Coding-Agenten auf Ihrem Rechner mit CybeDefend: Ihre Geschäftsregeln, Ihre Compliance-Frameworks und Guards, die destruktive Aufrufe blockieren, bevor sie ausgeführt werden.
Installation in 5 SekundenNode 18.17+
npx -y @cybedefend/vibedefend@latest installErkennt automatisch
Claude Code
Cursor
OpenAI Codex
Windsurf
VS Code Copilot