Hvad teams antager, og hvad licenser kræver

Open source betyder ikke ingen juridiske forpligtelser.

Det betyder, at forpligtelserne er standardiserede, offentlige og håndhævelige, ofte uden at nogen i teamet har læst dem.

• Antagelse

  “Det er open source. Vi kan bare sende det.”

  Virkelighed

  Hver komponent kommer med betingelser. Permissive licenser kræver stadig copyright- og licensmeddelelser i distributioner. Copyleft-licenser kan kræve kildekodetilbud, licensspredning og distributionsanalyse. Ikke en fodnote på en wiki.

• Antagelse

  “Vi er SaaS, så licenser gælder ikke for os.”

  Virkelighed

  Nogle forpligtelser er lettere ved rent netværksbaseret brug. Mange er det ikke. GPL, LGPL, Apache-kildeangivelse i installationsprogrammer, videredistribution af skrifttyper og kildeangivelse for assets betyder stadig noget. Og kunder spørger stadig, hvad I sender i produktion, og hvad I bundler.

• Antagelse

  “Jura tager sig af det, hvis det er vigtigt.”

  Virkelighed

  Jura kan ikke operationalisere det, udviklingsteamet aldrig har lavet en oversigt over. Pakkelister ændrer sig hver sprint. Skrifttyper, ikoner og SDK'er optræder ofte slet ikke i dem. Når advokaten bliver koblet på, er udgivelsen allerede ude.

• Antagelse

  “Vi har en LICENSE-fil i repoet.”

  Virkelighed

  Jeres repos licens er jeres egen. Ikke jeres afhængigheders. En enkelt kildeangivelsesfil fra for tre år siden beskriver ikke det, kunder downloader i dag.

• Antagelse

  “npm update er bare en patch, compliance forbliver den samme.”

  Virkelighed

  En versionsopdatering kan ændre den gældende licens, tilføje copyleft eller udskifte forpligtelserne helt. Rutineopdateringer er en af de mest almindelige måder, compliance bryder sammen på, uden at nogen bemærker det.