Lo que este análisis puede y no puede decirte

Responde a una pregunta concreta: ¿esta URL pública muestra señales evidentes de divulgación de licencias de terceros, o vacíos evidentes? Ayuda a los equipos que nunca han auditado su sitio de marketing a encontrar enlaces ausentes, redirecciones a la página de inicio o páginas de licencias vacías.

Para los proveedores de SaaS, el sitio de marketing suele ser el primer lugar donde miran los compradores antes de pedir la página real de cumplimiento de licencias del producto distribuido.

• Respuestas HTTP en las rutas habituales de licencias y avisos (/license, /legal, /oss, etc.).
• Si esas páginas contienen texto plausible de licencia o de aviso de terceros, y no están vacías.
• Algunas URL de scripts de terceros visibles en el HTML de la página de inicio.
• Redirecciones evidentes que envían las rutas de licencias a páginas sin relación.
• Enlaces ausentes: sin pie de página de licencias, sin mención de open source, sin URL de cumplimiento en el mapa del sitio.

No puede ver lo que no está en la página pública: el cumplimiento de licencias de un producto distribuido vive en las entradas de la build (lockfiles, SBOM, paquetes de versión), no en tu página de inicio. Un análisis limpio no significa que tu app móvil, tu instalador de escritorio o tu backend de API estén documentados.

El análisis no lee las dependencias transitivas de npm, no verifica los identificadores SPDX, no confirma el texto completo de la licencia de cada componente ni sabe si una persona aprobó la publicación. Ese vacío es grande: el informe OSSRA 2025 de Black Duck indica que las dependencias transitivas causaron casi el 30 % de los conflictos de licencia que encontró, y ninguno de ellos es visible desde una página de inicio. No puede sustituir la divulgación de licencias de terceros vinculada a lo que distribuyes.

• Dependencias empaquetadas en productos iOS, Android, de escritorio o integrados, que no están en la web pública.
• Paquetes transitivos que nunca se cargan en el JavaScript de cara al navegador.
• Si las licencias listadas coinciden con lo que realmente se distribuye en el producto en revisión.
• Estado de aprobación de revisión y publicación: puertas, firmas y registro de auditoría.
• Cumplimiento de copyleft: ofertas de código fuente, código fuente correspondiente, detonantes de distribución.
• Fuentes, SDK e iconos no referenciados en la URL analizada.
• Componentes solo internos o modelos de entrega air-gapped.

El análisis es un adelanto que encuentra vacíos visibles en una única URL pública; una página de cumplimiento de licencias es el registro operativo: inventario revisado, texto completo de la licencia, atribución, una URL estable para compras y exportaciones alineadas con las versiones.

Los equipos superan un análisis de superficie añadiendo un enlace en el pie de página a una página de aviso escasa. Los equipos superan la debida diligencia empresarial manteniendo documentación de cumplimiento de licencias por producto, actualizada cuando cambian las dependencias.

Si el análisis encuentra vacíos, trátalo como un impulso a actuar, no como un fracaso. Construye el inventario a partir de los lockfiles o SBOM de lo que realmente distribuyes. Revisa las licencias. Publica una divulgación mantenida que puedas compartir en el formato que pida la debida diligencia.

Si el análisis parece limpio, pregúntate igualmente si la página visible cubre el producto bajo contrato. Los pies de página de licencias del sitio de marketing y las páginas de cumplimiento de licencias del producto suelen ser artefactos distintos. Puede que se necesiten ambos; solo uno satisface una solicitud de divulgación de licencias de terceros sobre el producto distribuido.