Workflow
Réunissez imports, preuves de licences et approbations dans un seul processus. Publiez le dossier vérifié et maintenez-le à jour.
Importer
Import via synchronisation automatique GitHub, GitLab ou Azure DevOps, ou plus de 10 formats de lockfile et de SBOM
Chaque import classe d'abord les paquets en nouveaux, mis à jour ou inchangés, pour que vous voyiez exactement ce qui va être intégré.
Importez via la synchronisation automatique du dépôt, ou téléversez CycloneDX SBOM, npm (package-lock.json), pnpm (pnpm-lock.yaml), Yarn (yarn.lock), Bun (bun.lock), Go (go.mod), Rust (Cargo.lock), Python (uv.lock, poetry.lock), NuGet (packages.lock.json), Maven (pom.xml), Gradle (gradle.lockfile), Composer (composer.lock), Bundler (Gemfile.lock). Chaque ligne est une licence que vous devez satisfaire. Ajoutez les polices, icônes, SDK et entrées manuelles que les imports automatisés manquent. Rien n'est « terminé » tant qu'un humain n'a pas confirmé la licence ; les imports démarrent en attente de révision.
mainweb/package-lock.jsonapi/uv.lockcore/Cargo.lockRévision requise
Contexte de distribution
Définissez le contexte SaaS, binaire ou bibliothèque. SourceTrust fait ressortir les risques de licences applicables.
Ce choix n'est pas cosmétique. Il détermine quels avertissements de compatibilité et quelles obligations de licence apparaissent.
Vous déclarez comment le produit est distribué : service hébergé, binaire livré, bibliothèque, ou un mélange des deux. Ce choix détermine quels avertissements de compatibilité et quelles obligations apparaissent, car l'AGPL dans un backend SaaS pose une question juridique différente de l'AGPL dans un outil interne.
queue-workerAGPL-3.0Révisez la clause réseau de l'AGPL avant la mise en ligne de ce paquet.
Conserver les mentions de licence et de copyright
Révision guidée
Les paquets sûrs et vérifiés sont validés en masse. Les autres restent bloqués jusqu'à clarification de la licence, du texte et des obligations.
Un clic valide tous les paquets permissifs avec texte vérifié et sans obligation ouverte, et indique précisément pourquoi il a laissé les autres de côté.
Un paquet à la fois, avec une barre de progression et les options Approuver, Passer ou Mettre de côté. Chacun affiche une fiche de situation en langage clair : ce que le système a détecté, et la seule action suivante à mener.
Le droit des licences se divise entre les mentions que nous affichons pour vous et les étapes manuelles que seule votre équipe peut mener, chacune avec une explication de ce que cela signifie concrètement pour vous. Le bouton Publier reste verrouillé tant qu'elles ne sont pas cochées.
Faites correspondre les licences au format SPDX, pas de simples chaînes de caractères issues des manifestes. Récupérez automatiquement le texte des licences, validez en masse les licences sûres, et faites remonter les risques de copyleft et de distribution depuis le catalogue. Le texte intégral de la licence est requis avant publication pour les conditions imposant une mention. Les obligations externes doivent être reconnues, sous peine de blocage de la publication.
4 paquets nécessitent votre attention.
charting-libGPL-3.0Partagez le code source si vous livrez ce paquet à vos clients.
Publier
Chaque projet obtient une page d'attestation publique à vos couleurs, générée à partir de l'inventaire révisé : à intégrer dans la documentation, les trust centers et les réponses aux appels d'offres. Seuls les paquets approuvés avec un texte de licence complet y apparaissent. La publication est bloquée tant que votre équipe n'a pas vérifié ce qu'elle représente.
Voir la page d'attestationsourcetrust.app/acme/platformChaque composant de cette page a passé la révision d'Acme Inc : licence confirmée, texte de licence archivé, obligations reconnues.
Générez des exports de divulgation, NOTICE, JSON, PDF, CycloneDX et SPDX à partir du même instantané figé que la page en direct. Téléchargez-les dans vos dépôts, joignez-les à vos versions, ou archivez-les pour vos audits. Les exports incluent la provenance et l'URL publique une fois publiés.
NOTICEJSONPDFCycloneDXSPDXTableau de bord de conformité à l'échelle de l'organisation, recherche d'inventaire multi-projets, et journal d'audit des changements pertinents pour la conformité. Voies séparées Publié et Test pour les projets connectés. Catalogue de licences maintenu sans redéploiement.
La page et les exports de chaque projet ne décrivent que ce produit. Les obligations ne se propagent pas d'un projet à l'autre.
Importation et vérification gratuites. Aucune carte bancaire nécessaire.
Cookies sur sourcetrust.dev
Nous utilisons des cookies essentiels à la sécurité, notamment pour prévenir les abus sur notre analyse de site et notre formulaire de demande de démonstration. Avec votre permission, nous utilisons aussi des analytiques et diagnostics optionnels (Google Tag Manager sur ce site, et le SDK navigateur Sentry dans l'application SourceTrust lorsqu'il est configuré). Consultez notre politique relative aux cookies.