Webinar en inglésWebinar con Jason Lee, mié, 14 octYour newest insider is an AI agent.Jason LeeFormer CISO, Zoom & SplunkInscríbete

Licencias open source, clasificadas antes de que pregunten los abogados.

Cada licencia de tus dependencias clasificada, y tu política legal aplicada a cada una.

Probar el cloudReservar una demo
checkout-apiCumplimiento de licenciasProyecto de demostración
  • Bloqueadoitext7-core 8.0.5pom.xml

    Leída en pom.xml como AGPL-3.0-only, un copyleft fuerte.

    <name>GNU Affero General Public License v3</name>

    Copyleft fuerte: bloqueado por defecto, incluidas las transitivas.

Tu política, aplicada a cada paquete.

  • Cuatro familias

    • MIT
    • LGPL-2.1
    • GPL-3.0
    • AGPL-3.0

  • Expresiones SPDX

    • MIT OR GPL-3.0
    • Apache-2.0 AND BSD-3-Clause

  • Tus ajustes

    • LGPL-2.1 → permissive

  • Paquetes ignorados

    • @acme/internal-*
    • test/fixtures/**

Tu política decide qué se marca.

Cada paquete marcado

  • Alerta: itext7-core 8.0.5
  • Alerta: jszip 3.10.1
  • Alerta: hibernate-core 6.6.1.Final
  • Alerta: @acme/billing-utils 1.2.0

Tu política aplicada

  • Bloqueado: itext7-core 8.0.5pom.xml
  • Permitido: jszip 3.10.1OR se queda con la opción menos restrictiva.
  • Permitido: hibernate-core 6.6.1.FinalTu ajuste de organización: LGPL-2.1 cuenta como permisiva.
  • Desconocido: @acme/billing-utils 1.2.0Sin licencia declarada: asignas el identificador SPDX a mano.

Ningún job extra que ejecutar.

Leídas de los manifiestos del análisis SCA, junto a tus vulnerabilidades.

  1. Escaneo SCALos manifiestos, leídos en cada push.Leídos
  2. SPDXCada licencia, en una de cuatro familias.Clasificada
  3. Tu políticaTus ajustes y bloqueos, aplicados.Bloqueada
  4. InformePrimero las licencias desconocidas, filtradas por equipo.Listo

Empieza por un repositorio.

Conecta GitHub, GitLab, Bitbucket o Azure DevOps, elige un repositorio y el primer escaneo arranca.

Probar el cloudReservar una demo

En detalle

Cada licencia del árbol, clasificada.

La extracción de licencias reutiliza el análisis de manifiestos del escaneo SCA y los resultados aparecen junto a los hallazgos de vulnerabilidades.

  • Cuatro familias

    Más de 100 licencias clasificadas de antemano, dependencias transitivas incluidas.

  • Expresiones SPDX

    OR se queda con la opción menos restrictiva, AND con la más estricta, WITH aplica la excepción.

  • Tus ajustes

    Trata LGPL-2.1 como permisiva una vez y todos los proyectos lo siguen.

  • Licencias propias

    Licencias internas o de proveedores, controladas junto a las open source.

  • Paquetes ignorados

    Módulos internos, fixtures de test y herramientas de desarrollo, apartados.

  • Todos los ecosistemas

    npm, Yarn, pnpm, Bun, Deno, pip, Poetry, Pipenv, Maven, Gradle, Go modules, NuGet, Composer, Cargo, CocoaPods, Swift PM, Pub, Hex, RubyGems, Conan, Clojars y GitHub Actions.

Todo lo que revisa

Cuatro familias, y tus reglas por encima.

Cada identificador SPDX corresponde a una familia que controla tu equipo legal. Las expresiones se resuelven solas; los ajustes los decides tú.

  • Permisivas

    Usar, modificar, distribuir. Basta con conservar el aviso.

    Permitido

  • Copyleft débil

    Los cambios en la biblioteca se publican. Tu código sigue siendo tuyo.

    Revisar

  • Copyleft fuerte

    Si la enlazas, tienes que abrir tu producto. Bloqueada por defecto, también si llega por transitividad.

    Bloqueado

  • Desconocidas

    Sin SPDX en los metadatos, un texto propio, un campo mal formado. Alguien tiene que leerlo.

    Preguntar

  • Expresiones SPDX, resueltas

    OR elige la opción menos restrictiva, AND conserva la más estricta, WITH aplica la excepción.

  • Tu ajuste

    ¿Tu equipo legal aprobó LGPL-2.1 para toda la organización? Configúralo una vez y todos los proyectos lo aplican.

Seis funciones, un informe para el equipo legal.

Extracción SPDX, riesgo según las expresiones, ajustes por organización y paquetes ignorados.

  • Extracción automática de SPDX en cada escaneo SCA

    Las licencias se extraen de los metadatos del paquete durante el escaneo. Ninguna tarea extra que programar, ninguna herramienta aparte que instalar.

  • Cuatro categorías de riesgo y más de 100 licencias ya clasificadas

    Permissive (MIT, Apache-2.0, BSD-2-Clause, ISC), Weak Copyleft (LGPL-2.1, MPL-2.0, EPL-2.0), Strong Copyleft (GPL-3.0, AGPL-3.0, SSPL-1.0) o Unknown cuando el manifiesto no declara nada.

  • Parser de expresiones SPDX. OR, AND, WITH

    MIT OR GPL-3.0-only se resuelve con la opción menos restrictiva (Permissive).

  • Ajustes a nivel de organización

    Si tu equipo legal considera LGPL-2.1 como Permissive, ajústalo una sola vez a nivel de organización y todos los proyectos heredan la nueva clasificación al instante.

  • Asignación manual para licencias Unknown

    Cuando el manifiesto no declara ninguna licencia, el paquete va a parar a la categoría Unknown.

  • Ignora los paquetes internos o de test

    Activa la opción ignore en cualquier paquete: módulos internos del monorepo, fixtures de test, herramientas solo de desarrollo.

Riesgo que puedes defender ante el equipo legal.

  • Alineado con tu política legal

    Cada identificador SPDX corresponde a una categoría que decide tu equipo. Cambia los valores por defecto, añade tus licencias propietarias y restablécelo todo cuando cambie la política.

  • Ninguna tarea extra que ejecutar

    La extracción de licencias aprovecha la lectura del manifiesto que ya hace el escaneo SCA.

  • Filtros para cada equipo

    Ingeniería filtra por rama y ecosistema para centrarse en lo que les toca.

De la alerta a la política

  • GPL-3.0 en el árbol.

    Un copyleft fuerte que llegó como dependencia transitiva.

  • Juzgada por tu política.

    SPDX resuelto, tus ajustes aplicados.

  • Aprobada o sustituida.

    Responsable asignado, legal conforme, informe listo.

Lo que preguntan los equipos antes de activarlo.

¿Cómo se decide el nivel de riesgo de cada licencia?
Cada identificador SPDX corresponde a una de cuatro categorías (Permissive, Weak Copyleft, Strong Copyleft o Unknown), según una clasificación integrada que cubre más de 100 licencias. Cada organización puede ajustar cualquier clasificación a su política legal, y el ajuste se aplica al instante a todos sus proyectos.
¿Qué pasa cuando un paquete no tiene licencia detectada?
El paquete va a parar a la categoría Unknown. Desde el resumen de licencias puedes abrirlo y asignarle a mano el identificador SPDX correcto; el paquete se reclasifica y se suma a los contadores que le corresponden. Las licencias Unknown aparecen primero en el dashboard para que no se acumulen sin que nadie las vea.
¿La detección de licencias ralentiza el escaneo SCA?
No. La extracción de licencias aprovecha la lectura del manifiesto que ya hace el escaneo SCA. No hay tarea aparte, ni un segundo pipeline, ni una ventana de escaneo incremental. Los datos de licencias aparecen en el mismo dashboard, junto a los hallazgos de vulnerabilidades.
¿Se pueden añadir licencias propietarias personalizadas?
Sí. La configuración de la organización admite entradas personalizadas con la clasificación que elijas (Permissive, Weak Copyleft, Strong Copyleft o Unknown). Es útil para licencias internas o acuerdos con proveedores que no forman parte de SPDX pero que hay que seguir junto a las licencias open source.
¿Cómo se evalúan las expresiones SPDX complejas?
OR elige la opción menos restrictiva (`MIT OR GPL-3.0-only` → riesgo efectivo None). AND elige la más restrictiva (`MIT AND GPL-3.0-only` → riesgo efectivo High). WITH evalúa la licencia base con la excepción aplicada (`GPL-2.0-only WITH Classpath-exception-2.0` → GPL-2.0 con excepción Classpath). El dashboard muestra tanto la expresión original como la categoría resultante.