0107Workflow
Des obligations inconnues à une preuve défendable
Cinq étapes maîtrisées (import, révision, publication, export, gouvernance) pour que l'artefact livré de chaque dépôt corresponde à ce que représente sa page d'attestation.
Dernière mise à jour : 2 juillet 2026
Les cinq étapes
Mettez en œuvre les obligations de licence à chaque version
Ce n'est pas une simple couche de confort par-dessus npm : un parcours maîtrisé pour que l'artefact livré de chaque dépôt corresponde à ce que représentent sa page de conformité et ses fichiers d'export.
Inventoriez ce qui crée des obligations
Importez via la synchronisation automatique du dépôt, ou téléversez CycloneDX SBOM, npm (package-lock.json), pnpm (pnpm-lock.yaml), Yarn (yarn.lock), Bun (bun.lock), Go (go.mod), Rust (Cargo.lock), Python (uv.lock, poetry.lock), NuGet (packages.lock.json), Maven (pom.xml), Gradle (gradle.lockfile), Composer (composer.lock), Bundler (Gemfile.lock). Chaque ligne est une licence que vous devez satisfaire. Ajoutez les polices, icônes, SDK et entrées manuelles que les imports automatisés manquent. Rien n'est « terminé » tant qu'un humain n'a pas confirmé la licence ; les imports démarrent en attente de révision.
Révisez les obligations par paquet
Faites correspondre les licences au format SPDX, pas de simples chaînes de caractères issues des manifestes. Récupérez automatiquement le texte des licences, validez en masse les licences sûres, et faites remonter les risques de copyleft et de distribution depuis le catalogue. Le texte intégral de la licence est requis avant publication pour les conditions imposant une mention. Les obligations externes doivent être reconnues, sous peine de blocage de la publication.
Publiez une page d'attestation par projet
Chaque projet obtient une page d'attestation publique à vos couleurs, générée à partir de l'inventaire révisé : à intégrer dans la documentation, les trust centers et les réponses aux appels d'offres. Seuls les paquets approuvés avec un texte de licence complet y apparaissent. La publication est bloquée tant que votre équipe n'a pas vérifié ce qu'elle représente.
Téléchargez des fichiers conformes quand vous en avez besoin
Générez des exports de divulgation, NOTICE, JSON, PDF, CycloneDX et SPDX à partir du même instantané figé que la page en direct. Téléchargez-les dans vos dépôts, joignez-les à vos versions, ou archivez-les pour vos audits. Les exports incluent la provenance et l'URL publique une fois publiés.
Gouvernez les obligations à travers vos produits
Tableau de bord de conformité à l'échelle de l'organisation, recherche d'inventaire multi-projets, et journal d'audit des changements pertinents pour la conformité. Voies séparées Publié et Test pour les projets connectés. Catalogue de licences maintenu sans redéploiement.
La page et les exports de chaque projet ne décrivent que ce produit. Les obligations ne se propagent pas d'un projet à l'autre. Voir les fichiers d'export →
Intelligence des licences
Même licence, obligation différente. Les avertissements savent comment vous livrez.
Vous déclarez comment le produit est distribué : service hébergé, binaire livré, bibliothèque, ou un mélange des deux. Ce choix détermine quels avertissements de compatibilité et quelles obligations apparaissent, car l'AGPL dans un backend SaaS pose une question juridique différente de l'AGPL dans un outil interne.
- Des avertissements uniquement pour les schémas ayant déjà causé de vrais litiges : AGPL et SSPL en SaaS, GPL dans des binaires livrés, BUSL, Elastic 2.0 dans des services managés, polices OFL
- Dédupliqués : vingt paquets AGPL produisent un seul avertissement, pas vingt
- Veille sur les changements de licence : signale les dépendances figées dans des fenêtres de changement de licence connues, comme Redis vers AGPL ou HashiCorp vers BUSL
Révision guidée
La révision est un parcours guidé, pas une corvée de tableur.
La plupart des paquets se valident d'eux-mêmes ; votre jugement est réservé à la poignée qui en a besoin. Et un paquet ne peut pas être mis en ligne tant que sa licence n'est pas confirmée, que son texte n'est pas archivé, et que chaque obligation applicable n'est pas cochée.
Approuver automatiquement les licences sûres
Un clic valide tous les paquets permissifs avec texte vérifié et sans obligation ouverte, et indique précisément pourquoi il a laissé les autres de côté.
138 paquets approuvés automatiquement · 4 nécessitent votre attention
Un assistant pour le reste
Un paquet à la fois, avec une barre de progression et les options Approuver, Passer ou Mettre de côté. Chacun affiche une fiche de situation en langage clair : ce que le système a détecté, et la seule action suivante à mener.
Les obligations deviennent des cases à cocher
Le droit des licences se divise entre les mentions que nous affichons pour vous et les étapes manuelles que seule votre équipe peut mener, chacune avec une explication de ce que cela signifie concrètement pour vous. Le bouton Publier reste verrouillé tant qu'elles ne sont pas cochées.
Partagez le code source si vous livrez ce paquet à vos clients
Aperçu de l'import avant toute validation
Chaque import classe d'abord les paquets en nouveaux, mis à jour ou inchangés, pour que vous voyiez exactement ce qui va être intégré.
12 nouveaux · 3 mis à jour · 40 inchangés
Licences doubles, prises en charge
Pour les paquets sous double licence MIT OU Apache-2.0, vous choisissez la branche que vous utilisez réellement, présélectionnée d'après ce qui a été livré dans l'artefact, et les obligations suivent votre choix.
Des notes d'équipe qui restent internes
Les réviseurs laissent des commentaires sur les paquets à l'attention du prochain réviseur. Ils ne sont jamais affichés sur la page publique.
Arrêtez de livrer sur de simples suppositions
Cartographiez vos obligations avant la prochaine version
Configurez un projet pour chaque dépôt, révisez vos obligations, publiez quand vous êtes prêt, et gardez le dossier aligné sur chaque version. Téléchargez les fichiers de licence et d'attribution quand l'ingénierie en a besoin, avec des contrôles de pipeline pour que la prochaine mise à jour ne défasse pas ce que vous avez déjà approuvé. Votre rapport SOC n'est pas un substitut.
Pas encore prêt à commencer ? View pricing