autorisé
Permissives
Utiliser, modifier, livrer. Gardez la mention de copyright, rien d'autre n'est exigé.
MITApache-2.0BSD-3-ClauseISC0BSD
L'assurance du code au cloud.
Produit phare
VibeDefend
Apprend les règles de votre projet, relit chaque prompt, laisse l'agent livrer du code sécurisé dès le départ.
Agents IA
Scanners
- AI SASTAnalyse statique avec reachability
- SCADépendances et risques de licence
- Détection de secretsFuites de tokens stoppées avant le commit
- Conformité des licencesRisques des licences open source, classés
- AI IaCTerraform · Cloudformation · Ansible · K8s
- Sécurité des conteneursScan d'image + contexte runtime
- AI CI/CDGitHub Actions · GitLab CI · Jenkinsfile · Tekton
- AI-BOMAI Bill of Materials · EU AI Act + NIST AI RMF
Les licences open source, avant le juridique.
Chaque dépendance, directe ou transitive, est classée, et vous pouvez ajuster ce classement à votre politique juridique.
pipansible-core@2.17.5GPL-3.0-or-latercheckingbloqué
npmsharp@0.33.5Apache-2.0checkingautorisé
mavenhibernate-core@6.6.1LGPL-2.1-onlycheckingà revoir
pipnumpy@2.1.2BSD-3-Clausecheckingautorisé
mavenitext7-core@8.0.5AGPL-3.0-onlycheckingbloqué
npmexpress@4.21.2MITcheckingautorisé
Depuis le début du scan
- 3autorisé
- 1à revoir
- 2bloqué
- 0à qualifier
Quatre familles,
et vos règles en plus.
Chaque identifiant SPDX correspond à une famille que votre équipe juridique maîtrise. Les expressions sont résolues, les surcharges sont à vous.
à revoir
Copyleft faible
Les modifications de la bibliothèque sont reversées. Votre code reste le vôtre.
LGPL-2.1MPL-2.0EPL-2.0bloqué
Copyleft fort
Le lier, c'est ouvrir le code de votre produit. Bloqué par défaut, même en dépendance transitive.
GPL-2.0GPL-3.0AGPL-3.0à qualifier
Inconnues
Pas de SPDX dans les métadonnées, un texte maison, un champ cassé. Quelqu'un doit le lire.
no SPDXSEE LICENSE INcustomSPDX
Expressions SPDX, résolues
OR retient l'option la moins restrictive, AND garde la plus stricte, WITH applique l'exception.
MIT OR GPL-3.0-only(Apache-2.0 AND MIT)GPL-2.0-only WITH Classpath-exception-2.0surcharge
Votre surcharge
Le juridique a validé LGPL-2.1 pour toute l'organisation ? Réglez-le une fois, chaque projet suit.
LGPL-2.1 → permissiveorg-wideCe qui est inclusChaque verdict,
Chaque verdict,
avec la règle qui l'a rendu.
Extraction SPDX, risque évalué par expression, surcharges au niveau de l'organisation et exclusion par paquet.
npm
express4.21.2package.json
"license": "MIT"MITpermissiveautorisé
Lu dans package.json pendant le scan SCA : MIT est permissive.
Pourquoi les équipes plateforme choisissent CybeDefend pour les licencesUn risque
Un risque
défendable face au juridique.
Pas de job à lancer en plus
L'extraction des licences réutilise l'étape d'analyse des manifestes que le scan SCA effectue déjà.
Scan SCAparsing des manifestsvulnérabilitéslicences
Aligné sur votre posture juridique
Chaque identifiant SPDX correspond à une catégorie que votre équipe maîtrise. Modifiez les valeurs par défaut, ajoutez vos propres licences propriétaires, réinitialisez quand la politique change.
MPL-2.0copyleft faiblepar défautLicenseRef-acme-eulapermissivepersonnaliséeEPL-2.0permissivesurchargeDes filtres pour chaque public
Les équipes de développement filtrent par branche et par écosystème pour se concentrer sur ce qui les concerne.
express4.21.2MITautoriséaxe-core4.10.0MPL-2.0à revoirffmpeg-static5.2.0GPL-3.0-or-laterbloquéConformité des licences · 14 écosystèmesDe npm à NuGet,
De npm à NuGet,
de Hex à Conan.
L'extraction des licences tourne à chaque scan SCA, dans chacun de ces écosystèmes.
npm · Yarn · pnpm · Bun · Deno
package.json"express": "^4.21.2"express4.21.2MITautoriséSurvolez un écosystème pour voir une vraie dépendance et sa licence.Touchez un écosystème pour voir une vraie dépendance et sa licence.
Le fonctionnement,
en détail.
La documentation détaille l'installation, la configuration et chaque option.
Lire la documentationen anglaisPlatform Overview / Key Features
License Compliance
Catégories de licences, expressions SPDX, ajustements manuels, classifications pour toute l'organisation et écosystèmes pris en charge.
Conformité des licences · FAQ
Ce que les équipes demandent avant de l'activer.
Comment est déterminé le niveau de risque de chaque licence ?
Chaque identifiant SPDX correspond à l'une des quatre catégories : permissive, copyleft faible, copyleft fort ou inconnue, selon une classification intégrée qui couvre plus de 100 licences. Chaque organisation peut modifier n'importe quel classement pour suivre sa politique juridique ; ces surcharges s'appliquent immédiatement à tous les projets de l'organisation.
Que se passe-t-il quand aucune licence n'est détectée pour un paquet ?
Le paquet est classé dans la catégorie inconnue. Depuis la synthèse des licences, vous pouvez ouvrir le paquet et lui attribuer manuellement le bon identifiant SPDX ; il est alors reclassé et alimente les bons compteurs de la synthèse. Les licences inconnues apparaissent en premier dans le dashboard, pour ne pas s'accumuler en silence.
La détection des licences ralentit-elle le scan SCA ?
Non. L'extraction des licences réutilise l'étape d'analyse des manifestes que le scan SCA effectue déjà. Pas de job séparé, pas de second pipeline, pas de fenêtre de scan supplémentaire. Les données de licence apparaissent dans le même dashboard, à côté des alertes de vulnérabilité.
Peut-on ajouter nos propres licences propriétaires ?
Oui. La configuration de l'organisation accepte des entrées personnalisées avec la catégorie de votre choix (permissive, copyleft faible, copyleft fort ou inconnue). Utile pour des licences maison ou des accords fournisseurs qui ne font pas partie de SPDX mais doivent tout de même être suivis à côté des licences open source.
Comment les expressions SPDX complexes sont-elles évaluées ?
OR retient l'option la moins restrictive (`MIT OR GPL-3.0-only` → risque effectif nul). AND retient la plus restrictive (`MIT AND GPL-3.0-only` → risque effectif élevé). WITH évalue la licence de base avec l'exception appliquée (`GPL-2.0-only WITH Classpath-exception-2.0` → GPL-2.0 avec l'exception Classpath). Le dashboard affiche à la fois l'expression brute et la catégorie résolue.
Installez VibeDefend en 5 secondes.
Une commande relie chaque agent de code de votre machine à CybeDefend : vos règles métier, vos référentiels de conformité et des garde-fous qui bloquent les appels destructeurs avant leur exécution.
Installer en 5 secondesNode 18.17+
npx -y @cybedefend/vibedefend@latest installDétection automatique
Claude Code
Cursor
OpenAI Codex
Windsurf
VS Code Copilot