Hva denne skanningen kan og ikke kan fortelle deg

Den svarer på ett avgrenset spørsmål: Viser denne offentlige URL-en åpenbare tegn på offentliggjøring av tredjepartslisenser, eller åpenbare mangler? Den hjelper team som aldri har revidert markedsføringsnettstedet sitt, med å finne manglende lenker, omdirigeringer til forsiden, eller tomme lisenssider.

For SaaS-leverandører er markedsføringsnettstedet ofte det første stedet kjøpere ser, før de ber om den reelle lisensetterlevelsessiden for det leverte produktet.

• HTTP-responser på vanlige lisens- og notice-stier (/license, /legal, /oss osv.).
• Om disse sidene inneholder plausibel lisens- eller tredjeparts-notice-tekst, ikke tomme skall.
• Noen tredjeparts skript-URL-er synlige i forsidens HTML.
• Åpenbare omdirigeringer som sender lisensstier til urelaterte sider.
• Manglende lenker: Ingen lisens-bunntekst, ingen omtale av open source, ingen etterlevelses-URL i nettstedskartet.

Den kan ikke se det som ikke er på den offentlige siden: Lisensetterlevelse for et levert produkt finnes i byggegrunnlaget (lockfiler, SBOM-er, utgivelsespakker), ikke på forsiden din. En ren skanning betyr ikke at mobilappen, skrivebordsinstallasjonsprogrammet eller API-backenden din er dokumentert.

Skanningen leser ikke transitive npm-avhengigheter, verifiserer ikke SPDX-identifikatorer, bekrefter ikke fullstendig lisenstekst for hver komponent, og vet ikke om et menneske har godkjent publisering. Det gapet er stort: Black Ducks OSSRA 2025 rapporterer at transitive avhengigheter forårsaket nesten 30 % av lisenskonfliktene den fant, og ingen av dem er synlige fra en forside. Den kan ikke erstatte offentliggjøring av tredjepartslisenser knyttet til det du leverer.

• Avhengigheter som følger med i iOS-, Android-, skrivebords- eller innebygde produkter, ikke på det offentlige nettet.
• Transitive pakker som aldri lastes i nettleservendt JavaScript.
• Om oppførte lisenser stemmer med det som faktisk leveres i produktet som vurderes.
• Status for gjennomgangs- og publiseringsgodkjenning: Sperrer, signeringer, revisjonsspor.
• Copyleft-etterlevelse: Kildekodetilbud, tilhørende kildekode, distribusjonsutløsere.
• Fonter, SDK-er og ikoner som ikke er referert på den skannede URL-en.
• Kun interne komponenter eller luftgappede leveringsmodeller.

Skanningen er en smakebit som finner synlige mangler på én enkelt offentlig URL; en lisensetterlevelsesside er den operative oversikten: Gjennomgått oversikt, fullstendig lisenstekst, navngivelse, en stabil URL for innkjøp, og eksporter på linje med utgivelser.

Team består en overflateskanning ved å legge til en bunntekstlenke til en mangelfull notice-side. Team består enterprise-due-diligence ved å vedlikeholde lisensetterlevelsesdokumentasjon per produkt, oppdatert når avhengigheter endres.

Hvis skanningen finner mangler, behandle det som en oppfordring, ikke et nederlag. Bygg en oversikt fra lockfiler eller SBOM-er for det du faktisk leverer. Gjennomgå lisensene. Publiser vedlikeholdt offentliggjøring du kan dele i det formatet due diligence ber om.

Hvis skanningen ser ren ut, spør likevel om den synlige siden dekker produktet avtalen gjelder. Lisens-bunntekster på markedsføringsnettsteder og produktets lisensetterlevelsesside er ofte forskjellige artefakter. Begge kan trengs; bare én tilfredsstiller en forespørsel om offentliggjøring av tredjepartslisenser for det leverte produktet.