Webinar in ingleseWebinar con Jason Lee, mer 14 ottYour newest insider is an AI agent.Jason LeeFormer CISO, Zoom & SplunkIscriviti

Licenze open source, classificate prima che lo chieda l'ufficio legale.

Ogni licenza delle tue dipendenze classificata, e la tua policy legale applicata a ciascuna.

Prova il cloudPrenota una demo
checkout-apiConformità delle licenzeProgetto dimostrativo
  • Bloccatoitext7-core 8.0.5pom.xml

    Letta in pom.xml come AGPL-3.0-only, un copyleft forte.

    <name>GNU Affero General Public License v3</name>

    Copyleft forte: bloccato di default, incluse le transitive.

La tua policy, applicata a ogni pacchetto.

  • Quattro famiglie

    • MIT
    • LGPL-2.1
    • GPL-3.0
    • AGPL-3.0

  • Espressioni SPDX

    • MIT OR GPL-3.0
    • Apache-2.0 AND BSD-3-Clause

  • Le tue eccezioni

    • LGPL-2.1 → permissive

  • Pacchetti ignorati

    • @acme/internal-*
    • test/fixtures/**

È la tua policy a decidere cosa segnalare.

Ogni pacchetto segnalato

  • Alert: itext7-core 8.0.5
  • Alert: jszip 3.10.1
  • Alert: hibernate-core 6.6.1.Final
  • Alert: @acme/billing-utils 1.2.0

La tua policy applicata

  • Bloccato: itext7-core 8.0.5pom.xml
  • Consentito: jszip 3.10.1OR tiene l'opzione meno restrittiva.
  • Consentito: hibernate-core 6.6.1.FinalIl tuo override di organizzazione: LGPL-2.1 conta come permissiva.
  • Da chiarire: @acme/billing-utils 1.2.0Nessuna licenza dichiarata: assegni l'identificativo SPDX a mano.

Nessun job in più da eseguire.

Lette dai manifest della scansione SCA, accanto alle tue vulnerabilità.

  1. Scansione SCAI manifest, letti a ogni push.Letti
  2. SPDXOgni licenza in una di quattro famiglie.Classificata
  3. La tua policyLe tue eccezioni e i tuoi blocchi, applicati.Bloccata
  4. ReportPrima le licenze sconosciute, filtrate per team.Pronto

Inizia da un repository.

Collega GitHub, GitLab, Bitbucket o Azure DevOps, scegli un repository e la prima scansione parte.

Prova il cloudPrenota una demo

Nel dettaglio

Ogni licenza dell'albero, classificata.

L'estrazione delle licenze riusa l'analisi dei manifest della scansione SCA, e i risultati stanno accanto ai finding sulle vulnerabilità.

  • Quattro famiglie

    Oltre 100 licenze già classificate, dipendenze transitive comprese.

  • Espressioni SPDX

    OR tiene l'opzione meno restrittiva, AND la più severa, WITH applica l'eccezione.

  • Le tue eccezioni

    Considera LGPL-2.1 permissiva una volta, e ogni progetto si adegua.

  • Licenze personalizzate

    Licenze interne o dei fornitori, tracciate accanto a quelle open source.

  • Pacchetti ignorati

    Moduli interni, fixture di test e strumenti di sviluppo, messi da parte.

  • Tutti gli ecosistemi

    npm, Yarn, pnpm, Bun, Deno, pip, Poetry, Pipenv, Maven, Gradle, Go modules, NuGet, Composer, Cargo, CocoaPods, Swift PM, Pub, Hex, RubyGems, Conan, Clojars e GitHub Actions.

Tutto quello che controlla

Quattro famiglie, più le tue regole.

Ogni identificatore SPDX corrisponde a una famiglia gestita dal tuo ufficio legale. Le espressioni vengono risolte, le eccezioni le decidi tu.

  • Permissive

    Usi, modifichi, distribuisci. Basta mantenere l'avviso di licenza.

    Consentito

  • Copyleft debole

    Le modifiche alla libreria vanno condivise. Il tuo codice resta tuo.

    Da rivedere

  • Copyleft forte

    Collegarla significa aprire il codice del tuo prodotto. Bloccata per impostazione predefinita, anche se transitiva.

    Bloccato

  • Sconosciute

    Nessun SPDX nei metadati, un testo personalizzato, un campo rotto. Qualcuno deve leggerlo.

    Da chiarire

  • Espressioni SPDX, risolte

    OR sceglie l'opzione meno restrittiva, AND tiene la più severa, WITH applica l'eccezione.

  • Il tuo override

    L'ufficio legale ha approvato LGPL-2.1 per tutta l'organizzazione? Impostalo una volta e ogni progetto si adegua.

Sei funzioni, un report per il legale.

Estrazione SPDX, rischio calcolato sulle espressioni, override a livello di organizzazione ed esclusione per pacchetto.

  • Estrazione SPDX automatica a ogni scansione SCA

    Le licenze vengono estratte dai metadati dei pacchetti durante la scansione. Nessun job in più da pianificare, nessuno strumento separato da installare.

  • Quattro categorie di rischio, 100+ licenze pre-classificate

    Permissiva (MIT, Apache-2.0, BSD-2-Clause, ISC), copyleft debole (LGPL-2.1, MPL-2.0, EPL-2.0), copyleft forte (GPL-3.0, AGPL-3.0, SSPL-1.0), oppure sconosciuta quando il manifest non la indica.

  • Parser di espressioni SPDX. OR, AND, WITH

    MIT OR GPL-3.0-only si risolve nell'opzione meno restrittiva (permissiva).

  • Override a livello di organizzazione

    Se il tuo ufficio legale considera LGPL-2.1 permissiva, basta cambiarla una volta a livello di organizzazione e ogni progetto eredita subito la nuova classificazione.

  • Assegnazione manuale delle licenze sconosciute

    Quando il manifest non dichiara una licenza, il pacchetto finisce tra le sconosciute.

  • Ignora i pacchetti interni o solo di test

    Attiva il flag ignore su qualsiasi pacchetto: moduli interni del monorepo, fixture di test, strumenti usati solo in sviluppo.

Un rischio difendibile davanti al legale.

  • In linea con il tuo ufficio legale

    Ogni identificatore SPDX corrisponde a una categoria gestita dal tuo team. Modifica i valori predefiniti, aggiungi licenze proprietarie personalizzate e ripristina tutto quando la policy cambia.

  • Nessun job extra da lanciare

    L'estrazione delle licenze sfrutta la stessa lettura dei manifest che la scansione SCA fa già.

  • Filtrabile per ogni team

    Gli sviluppatori filtrano per branch ed ecosistema e si concentrano su ciò di cui sono responsabili.

Dalla segnalazione alla policy

  • GPL-3.0 nell'albero.

    Un copyleft forte arrivato per transitività.

  • Giudicata dalla policy.

    SPDX risolto, le tue eccezioni applicate.

  • Approvata o sostituita.

    Owner assegnato, legale d'accordo, report emesso.

Cosa chiedono i team prima di attivarlo.

Come viene deciso il livello di rischio di ciascuna licenza?
Ogni identificatore SPDX corrisponde a una di quattro categorie: permissiva, copyleft debole, copyleft forte o sconosciuta, secondo una classificazione integrata che copre oltre 100 licenze. Le organizzazioni possono modificare qualsiasi classificazione per allinearla alla propria policy legale; le modifiche valgono subito per ogni progetto dell'organizzazione.
Cosa succede se per un pacchetto non viene rilevata alcuna licenza?
Il pacchetto finisce tra le licenze sconosciute. Dal riepilogo delle licenze puoi aprirlo e assegnare a mano l'identificatore SPDX corretto: il pacchetto viene riclassificato e aggiorna i contatori giusti nel riepilogo. Le licenze sconosciute compaiono per prime nella dashboard, così non si accumulano senza che nessuno se ne accorga.
Il rilevamento delle licenze rallenta la scansione SCA?
No. L'estrazione delle licenze riusa la lettura dei manifest che la scansione SCA fa già. Nessun job separato, nessuna seconda pipeline, nessuna finestra di scansione aggiuntiva. I dati sulle licenze compaiono nella stessa dashboard, accanto ai finding sulle vulnerabilità.
Possiamo aggiungere licenze proprietarie personalizzate?
Sì. La configurazione a livello di organizzazione accetta voci personalizzate con la classificazione che scegli (permissiva, copyleft debole, copyleft forte o sconosciuta). Utile per le licenze interne o gli accordi con i fornitori che non fanno parte di SPDX ma vanno comunque tracciati insieme alle licenze open source.
Come vengono valutate le espressioni SPDX complesse?
OR sceglie l'opzione meno restrittiva (`MIT OR GPL-3.0-only` → rischio effettivo nullo). AND sceglie la più restrittiva (`MIT AND GPL-3.0-only` → rischio effettivo alto). WITH valuta la licenza di base con l'eccezione applicata (`GPL-2.0-only WITH Classpath-exception-2.0` → GPL-2.0 con eccezione Classpath). La dashboard mostra sia l'espressione originale sia la categoria risultante.