Ressources
Le guide en langage clair de la conformité des licences tierces
Ce que les licences open source exigent réellement, comment ces règles se manifestent dans de vrais produits, et comment produire un dossier défendable. Écrit pour les personnes qui répondent à la diligence dans l'urgence, pas pour des juristes.
Commencez ici
« L'open source » n'est pas une autorisation de livrer. C'est un contrat.
Chaque bibliothèque, police, icône et SDK que vous embarquez vient avec des conditions : mention, attribution, parfois copyleft. Elles sont standardisées, publiques et exécutoires, souvent sans que personne dans l'équipe ne les ait lues. Voici les trois suppositions qui coûtent le plus cher aux équipes.
« C'est de l'open source, on peut le livrer. »
Les licences permissives exigent tout de même des mentions de copyright et de licence dans les distributions. Le copyleft peut exiger des offres de code source. Jamais une note de bas de page sur un wiki.
« On est en SaaS, les licences ne s'appliquent pas. »
Certaines obligations sont allégées pour un usage réseau uniquement ; beaucoup ne le sont pas. Les polices, programmes d'installation et ressources embarquées portent toujours des obligations, et les acheteurs continuent de demander.
« npm update, c'est juste un patch. »
Une montée de version peut changer la licence effective ou ajouter du copyleft. Les mises à jour de routine sont la façon la plus courante dont la conformité se rompt sans être remarquée.
01Quelles sont les règles, et où elles s'appliquent
Tous les sujets de conformité des licencesFondamentaux
- Ce qui s'accumule réellement dans un produitDes centaines de paquets, polices, icônes et SDK, et les déclencheurs qui forcent les équipes à enfin s'y pencher.
- Mention, attribution & texte intégralTrois obligations distinctes que les réviseurs vérifient, et la lacune la plus courante sur les pages de conformité.
- Le copyleft, sans le cours de droitCe que la GPL, la LGPL et l'AGPL vous obligent réellement à mettre en œuvre avant de livrer.
- Qui porte l'obligationL'ingénierie, le juridique et le produit, et quand les obligations de licence s'appliquent à votre organisation.
- Où se manifestent les obligationsSites web, applications mobiles, programmes d'installation de bureau et produits embarqués portent chacun des obligations différentes.
- Ce que cela coûte à l'entrepriseRetards de transactions, mauvaises surprises en audit et fausse confiance, quand personne ne porte la responsabilité de ce qui est livré.
- Les conséquences juridiques en pratiqueInjonctions, dommages et intérêts, et divulgation forcée, tirés de vraies affaires d'application des licences.
- La page de conformité, expliquéeCe qu'une page de licences destinée aux acheteurs doit contenir, et pourquoi un tableur ne suffit pas.
02Où les programmes de conformité s'arrêtent en chemin
Tous les sujets réglementairesRéglementation & SBOM
- SOC 2 ou l'ISO 27001 couvrent-ils cela ?Non. Voici l'écart exact entre un certificat de sécurité et la divulgation de licences.
- Le règlement de l'UE sur la cyberrésilienceCe qu'exige la documentation du CRA, face à la page de licences qu'attend toujours la diligence.
- SBOM contre une page de licencesPourquoi une liste de composants lisible par machine n'équivaut pas à une divulgation révisée.
- Les questions de licence dans les questionnairesComment répondre à partir d'un inventaire révisé, à l'échelle du produit, sans surpromettre.
03Pas à pas, quand vous êtes dans l'urgence
Tous les guidesGuides
- Liste de contrôle de conformité des licencesCe qu'il faut vérifier sur l'inventaire, le texte et l'attribution avant de partager une URL.
- Ce que les achats demandent réellementUne preuve continue, pourquoi les exports deviennent obsolètes, et comment répondre quand les dépendances évoluent plus vite que les documents.
- Réviser un inventaire avant publicationUne séquence concrète, de l'import jusqu'à la publication validée, sans sauter d'étape.
- Du SBOM à une page de conformitéTransformez vos exports CycloneDX ou vos lockfiles existants en un dossier révisé.
- Conformité des licences en M&APreuve prête pour la diligence : page d'attestation, SPDX, CycloneDX et PDF depuis un snapshot.
Vous vous renseignez parce qu'on vous a demandé une preuve ?
Évitez la panique de dernière minute. Importez votre inventaire et voyez où vous en êtes, gratuitement, en quelques minutes.