Cómo revisar un inventario de terceros antes de publicar

Porque la importación solo te dice qué hay, no si los metadatos de licencia son fiables: los registros de paquetes etiquetan mal las licencias, los proveedores cambian las condiciones, y las dependencias transitivas introducen copyleft que no esperabas. Un archivo de inventario de terceros es una entrada, no una página de cumplimiento terminada.

La magnitud está documentada, y es exactamente el conjunto de casos que la importación automatizada no puede resolver por sí sola.

Las puertas de revisión existen para que no puedas publicar una URL de cumplimiento de licencias que exagere lo que tu equipo verificó. Compras y los auditores tratan la página pública como tu declaración de las obligaciones de licencia de terceros.

Parte de artefactos vinculados a la build que distribuyes: package-lock.json, pnpm-lock.yaml, yarn.lock, go.mod, Cargo.lock, pom.xml, Gemfile.lock, un SBOM de CycloneDX de CI, o exportaciones de tu herramienta de SBOM actual. Marca cada fila como pendiente de revisión hasta que alguien confirme la licencia.

Delimita la importación a un solo producto. Las empresas con varios productos necesitan páginas de cumplimiento de licencias separadas, o secciones claramente separadas, por cada producto distribuido. Mezclar inventarios genera errores de divulgación.

• Importa lockfiles o SBOM desde la rama de versión, no desde main si diverge.
• Incluye fuentes, iconos, SDK y recursos integrados que exija tu política.
• Señala los duplicados y fusiona las entradas que se refieren al mismo componente.
• Registra la fecha de importación y el hash del archivo de origen para el registro de auditoría.
• No publiques automáticamente. Cada entrada empieza sin revisar.

Para cada línea, confirma que el identificador de licencia coincide con el uso real, no solo con los metadatos de package.json. Lee los detonantes de copyleft. Adjunta el texto completo de la licencia. Documenta las exclusiones explícitamente.

Los revisores se centran en GPL, LGPL, AGPL, SDK propietarios y componentes con datos de licencia ausentes o contradictorios. Esas filas bloquean la publicación hasta que se resuelven.

• Empareja la licencia con su origen: el archivo LICENSE del repositorio, el acuerdo del proveedor, o un identificador SPDX confirmado por una persona.
• Añade el texto completo de la licencia al registro antes de marcarla como aprobada.
• Señala el copyleft, el copyleft de red (AGPL) y las licencias personalizadas para revisión legal o de ingeniería sénior.
• Resuelve los conflictos (el registro dice MIT, el repositorio dice Apache) antes de aprobar.
• Documenta los componentes excluidos del producto distribuido y por qué.
• Exige un segundo aprobador para las licencias de alto riesgo si tu política define uno.

Publica solo cuando se superan las puertas: sin filas sin revisar, texto completo de la licencia adjunto, alcance del producto claro, URL estable. La página de cumplimiento de licencias pública son los mismos datos que tus exportaciones. Un inventario revisado, múltiples salidas.

Las páginas de divulgación de licencias de terceros deben cargar sin autenticación, listar los componentes con claridad, e incluir el texto completo de la licencia que compras puede buscar y copiar. Eso es lo que buscan las revisiones empresariales.

• Bloquea la publicación si algún componente dentro del alcance carece de texto de licencia aprobado.
• Genera la URL pública y verifícala en incógnito antes de compartirla externamente.
• Exporta paquetes de JSON, atribución y divulgación a partir de la misma instantánea aprobada.
• Registra quién aprobó la publicación y con qué etiqueta de versión coincide.

El cumplimiento de licencias no es algo que se hace una sola vez. Llegan dependencias nuevas, cambios de versión y cambios de licencia en cada sprint. Las comprobaciones de deriva comparan los lockfiles o SBOM actuales con tu última publicación aprobada y señalan las diferencias antes de que los clientes se den cuenta.

Cuando cambia el inventario, vuelve a ejecutar las puertas de revisión. Actualiza la página de cumplimiento de licencias. Envía URL actualizadas a compras solo cuando la nueva publicación está aprobada, no cuando termina la importación.

• Ejecuta comprobaciones de pipeline o CI en cada pull request, etiqueta o versión.
• Señala los paquetes nuevos sin revisar antes de la versión, según tu política.
• Vuelve a aprobar los componentes copyleft cuando cambia el modelo de enlace o distribución.
• Mantén el registro de auditoría: eventos de importación, revisión, publicación y deriva.