Aprender
La guía en lenguaje sencillo sobre el cumplimiento de licencias de terceros
Qué exigen realmente las licencias de open source, cómo se manifiestan las reglas en productos reales y cómo generar un registro que puedas defender. Escrita para quienes responden a la debida diligencia contrarreloj, no para abogados.
Empieza aquí
"Open source" no es un permiso para distribuir. Es un contrato.
Cada biblioteca, fuente, icono y SDK que empaquetas viene con condiciones: aviso, atribución, a veces copyleft. Están estandarizadas, son públicas y exigibles, a menudo sin que nadie del equipo las haya leído. Estas son las tres suposiciones que más les cuestan a los equipos.
"Es open source, podemos distribuirlo."
Las licencias permisivas igualmente exigen avisos de derechos de autor y de licencia en las distribuciones. El copyleft puede exigir ofertas de código fuente. Nunca es una nota a pie de página en un wiki.
"Somos SaaS, las licencias no se aplican."
Algunas obligaciones son más ligeras para el uso exclusivamente en red; muchas no lo son. Las fuentes, los instaladores y los recursos empaquetados igualmente conllevan deberes, y los compradores igualmente preguntan.
"npm update es solo un parche."
Un cambio de versión puede modificar la licencia efectiva o añadir copyleft. Las actualizaciones rutinarias son la forma más común en que el cumplimiento se rompe sin que nadie se dé cuenta.
01Cuáles son las reglas, y dónde se aplican
Todos los temas de cumplimiento de licenciasFundamentos
- Lo que realmente se acumula en un productoCientos de paquetes, fuentes, iconos y SDK, y los detonantes que obligan a los equipos a mirar por fin.
- Aviso, atribución y texto completoTres deberes distintos que comprueban los revisores, y el vacío más común en las páginas de cumplimiento.
- Copyleft, sin la lección legalLo que GPL, LGPL y AGPL realmente te exigen poner en práctica antes de distribuir.
- Quién es responsable de la obligaciónIngeniería, legal y producto, y cuándo se aplican los deberes de licencia a tu organización.
- Dónde aparecen las obligacionesLos sitios web, las apps móviles, los instaladores de escritorio y los productos integrados conllevan cada uno deberes distintos.
- Lo que le cuesta al negocioRetrasos en acuerdos, sorpresas en auditorías y falsa confianza cuando nadie es responsable de lo que se distribuye.
- Consecuencias legales en la prácticaMedidas cautelares, indemnizaciones y divulgación forzosa de casos reales de aplicación de licencias.
- La página de cumplimiento, explicadaQué debe contener una página de licencias de cara al comprador, y por qué una hoja de cálculo no es suficiente.
02Dónde se quedan cortos los programas de cumplimiento
Todos los temas normativosNormativa y SBOM
- ¿SOC 2 o ISO 27001 cubren esto?No. Este es el vacío exacto entre un certificado de seguridad y la divulgación de licencias.
- La Ley de Ciberresiliencia de la UELo que exige la documentación de la CRA frente a la página de licencias que la debida diligencia sigue esperando.
- SBOM frente a una página de licenciasPor qué una lista de componentes legible por máquina no es lo mismo que una divulgación revisada.
- Preguntas de licencias en los cuestionariosCómo responder a partir de un inventario revisado y delimitado por producto, sin exagerar.
03Paso a paso, cuando vas contrarreloj
Todas las guíasGuías
- Lista de verificación de cumplimiento de licenciasQué verificar en inventario, texto y atribución antes de compartir una URL.
- Lo que realmente pide comprasPrueba continua, por qué las exportaciones quedan obsoletas, y cómo responder cuando las dependencias avanzan más rápido que el papeleo.
- Revisar un inventario antes de publicarUna secuencia práctica desde la importación hasta la publicación aprobada, sin saltarse ninguna puerta.
- De un SBOM a una página de cumplimientoConvierte el CycloneDX o los lockfiles que ya generas en un registro revisado.
- Cumplimiento de licencias en M&APrueba lista para diligencia: página de atestación, SPDX, CycloneDX y PDF desde una instantánea.
¿Estás investigando porque alguien te pidió pruebas?
Sáltate la crisis. Importa tu inventario y descubre dónde estás, gratis, en minutos.