Webinar en anglaisWebinar avec Jason Lee, mer. 14 oct.Your newest insider is an AI agent.Jason LeeFormer CISO, Zoom & SplunkS'inscrire

Les licences open source, triées avant la question du juridique.

Chaque licence de vos dépendances classée, et votre politique juridique appliquée à chacune.

Essayer le cloudRéserver une démo
checkout-apiConformité des licencesProjet de démonstration
  • Bloquéitext7-core 8.0.5pom.xml

    Lue dans pom.xml comme AGPL-3.0-only, un copyleft fort.

    <name>GNU Affero General Public License v3</name>

    Copyleft fort : bloqué par défaut, dépendances transitives comprises.

Votre politique, appliquée à chaque paquet.

  • Quatre familles

    • MIT
    • LGPL-2.1
    • GPL-3.0
    • AGPL-3.0

  • Les expressions SPDX

    • MIT OR GPL-3.0
    • Apache-2.0 AND BSD-3-Clause

  • Vos ajustements

    • LGPL-2.1 → permissive

  • Des paquets ignorés

    • @acme/internal-*
    • test/fixtures/**

Votre politique décide de ce qui remonte.

Chaque paquet signalé

  • Alerte: itext7-core 8.0.5
  • Alerte: jszip 3.10.1
  • Alerte: hibernate-core 6.6.1.Final
  • Alerte: @acme/billing-utils 1.2.0

Votre politique appliquée

  • Bloqué: itext7-core 8.0.5pom.xml
  • Autorisé: jszip 3.10.1OR retient l'option la moins restrictive.
  • Autorisé: hibernate-core 6.6.1.FinalVotre surcharge d'organisation : LGPL-2.1 compte comme permissive.
  • À qualifier: @acme/billing-utils 1.2.0Aucune licence déclarée : attribuez l'identifiant SPDX à la main.

Aucun job de plus à lancer.

Lues dans les manifestes de l'analyse SCA, à côté de vos vulnérabilités.

  1. Scan SCALes manifestes, lus à chaque push.Lus
  2. SPDXChaque licence rangée dans une des quatre familles.Classée
  3. Votre politiqueVos ajustements et vos blocages, appliqués.Bloquée
  4. RapportLes licences inconnues d'abord, filtrées par équipe.Prêt

Commencez par un dépôt.

Connectez GitHub, GitLab, Bitbucket ou Azure DevOps, choisissez un dépôt, et le premier scan démarre.

Essayer le cloudRéserver une démo

En détail

Chaque licence de l'arbre, classée.

L'extraction des licences réutilise l'analyse des manifestes du scan SCA, et les résultats se rangent à côté des alertes de vulnérabilités.

  • Quatre familles

    Plus de 100 licences classées d'avance, dépendances transitives comprises.

  • Les expressions SPDX

    OR garde l'option la moins restrictive, AND la plus stricte, WITH applique l'exception.

  • Vos ajustements

    Considérez LGPL-2.1 comme permissive une fois, et chaque projet suit.

  • Des licences sur mesure

    Licences internes ou de fournisseurs, suivies à côté des licences open source.

  • Des paquets ignorés

    Modules internes, fixtures de test et outillage de développement, mis de côté.

  • Tous les écosystèmes

    npm, Yarn, pnpm, Bun, Deno, pip, Poetry, Pipenv, Maven, Gradle, Go modules, NuGet, Composer, Cargo, CocoaPods, Swift PM, Pub, Hex, RubyGems, Conan, Clojars et GitHub Actions.

Tout ce qu'il vérifie

Quatre familles, et vos règles en plus.

Chaque identifiant SPDX correspond à une famille que votre équipe juridique maîtrise. Les expressions sont résolues, les surcharges sont à vous.

  • Permissives

    Utiliser, modifier, livrer. Gardez la mention de copyright, rien d'autre n'est exigé.

    Autorisé

  • Copyleft faible

    Les modifications de la bibliothèque sont reversées. Votre code reste le vôtre.

    À revoir

  • Copyleft fort

    Le lier, c'est ouvrir le code de votre produit. Bloqué par défaut, même en dépendance transitive.

    Bloqué

  • Inconnues

    Pas de SPDX dans les métadonnées, un texte maison, un champ cassé. Quelqu'un doit le lire.

    À qualifier

  • Expressions SPDX, résolues

    OR retient l'option la moins restrictive, AND garde la plus stricte, WITH applique l'exception.

  • Votre surcharge

    Le juridique a validé LGPL-2.1 pour toute l'organisation ? Réglez-le une fois, chaque projet suit.

Six fonctionnalités, un rapport prêt pour le juridique.

Extraction SPDX, risque évalué par expression, surcharges au niveau de l'organisation et exclusion par paquet.

  • Extraction SPDX automatique sur chaque scan SCA

    Les licences sont extraites des métadonnées des paquets au moment du scan. Aucun job de plus à planifier, aucun outil séparé à installer.

  • Quatre catégories de risque, plus de 100 licences déjà classées

    Permissive (MIT, Apache-2.0, BSD-2-Clause, ISC), copyleft faible (LGPL-2.1, MPL-2.0, EPL-2.0), copyleft fort (GPL-3.0, AGPL-3.0, SSPL-1.0), ou inconnue quand le manifeste ne dit rien.

  • Parser d'expressions SPDX : OR, AND, WITH

    MIT OR GPL-3.0-only se résout vers l'option la moins restrictive (permissive).

  • Surcharges au niveau de l'organisation

    Si votre service juridique considère LGPL-2.1 comme permissive, modifiez ce classement une fois au niveau de l'organisation : tous les projets en héritent immédiatement.

  • Attribution manuelle des licences inconnues

    Quand le manifeste ne déclare aucune licence, le paquet est classé dans la catégorie inconnue.

  • Ignorer les paquets internes ou de test

    Activez l'option ignore sur n'importe quel paquet : modules internes du monorepo, fixtures de test, outils réservés au développement.

Un risque défendable face au juridique.

  • Aligné sur votre posture juridique

    Chaque identifiant SPDX correspond à une catégorie que votre équipe maîtrise. Modifiez les valeurs par défaut, ajoutez vos propres licences propriétaires, réinitialisez quand la politique change.

  • Pas de job à lancer en plus

    L'extraction des licences réutilise l'étape d'analyse des manifestes que le scan SCA effectue déjà.

  • Des filtres pour chaque public

    Les équipes de développement filtrent par branche et par écosystème pour se concentrer sur ce qui les concerne.

Du signalement à la politique

  • GPL-3.0 dans l'arbre.

    Un copyleft fort arrivé par une dépendance transitive.

  • Jugée par la politique.

    SPDX résolu, vos surcharges appliquées.

  • Validée ou remplacée.

    Responsable désigné, feu vert du juridique, rapport archivé.

Ce que les équipes demandent avant de l'activer.

Comment est déterminé le niveau de risque de chaque licence ?
Chaque identifiant SPDX correspond à l'une des quatre catégories : permissive, copyleft faible, copyleft fort ou inconnue, selon une classification intégrée qui couvre plus de 100 licences. Chaque organisation peut modifier n'importe quel classement pour suivre sa politique juridique ; ces surcharges s'appliquent immédiatement à tous les projets de l'organisation.
Que se passe-t-il quand aucune licence n'est détectée pour un paquet ?
Le paquet est classé dans la catégorie inconnue. Depuis la synthèse des licences, vous pouvez ouvrir le paquet et lui attribuer manuellement le bon identifiant SPDX ; il est alors reclassé et alimente les bons compteurs de la synthèse. Les licences inconnues apparaissent en premier dans le dashboard, pour ne pas s'accumuler en silence.
La détection des licences ralentit-elle le scan SCA ?
Non. L'extraction des licences réutilise l'étape d'analyse des manifestes que le scan SCA effectue déjà. Pas de job séparé, pas de second pipeline, pas de fenêtre de scan supplémentaire. Les données de licence apparaissent dans le même dashboard, à côté des alertes de vulnérabilité.
Peut-on ajouter nos propres licences propriétaires ?
Oui. La configuration de l'organisation accepte des entrées personnalisées avec la catégorie de votre choix (permissive, copyleft faible, copyleft fort ou inconnue). Utile pour des licences maison ou des accords fournisseurs qui ne font pas partie de SPDX mais doivent tout de même être suivis à côté des licences open source.
Comment les expressions SPDX complexes sont-elles évaluées ?
OR retient l'option la moins restrictive (`MIT OR GPL-3.0-only` → risque effectif nul). AND retient la plus restrictive (`MIT AND GPL-3.0-only` → risque effectif élevé). WITH évalue la licence de base avec l'exception appliquée (`GPL-2.0-only WITH Classpath-exception-2.0` → GPL-2.0 avec l'exception Classpath). Le dashboard affiche à la fois l'expression brute et la catégorie résolue.