Slik gjennomgår du en tredjepartsoversikt før publisering

Fordi import bare forteller deg hva som er der, ikke om lisensmetadataene er pålitelige: Pakkeregistre feilmerker lisenser, leverandører endrer vilkår, og transitive avhengigheter introduserer copyleft du ikke forventet. En tredjeparts-oversiktsfil er råmateriale, ikke en ferdig etterlevelsesside.

Omfanget er dokumentert, og det er nettopp de tilfellene automatisert import ikke kan løse på egen hånd.

Godkjenningssperrer finnes for at dere ikke skal kunne publisere en lisensetterlevelses-URL som overdriver det teamet faktisk har verifisert. Innkjøp og revisorer behandler den offentlige siden som deres fremstilling av tredjepartslisensforpliktelsene.

Start med artefakter knyttet til byggeversjonen dere leverer: package-lock.json, pnpm-lock.yaml, yarn.lock, go.mod, Cargo.lock, pom.xml, Gemfile.lock, en CycloneDX SBOM fra CI, eller eksporter fra det eksisterende SBOM-verktøyet deres. Merk hver rad trenger gjennomgang til noen bekrefter lisensen.

Avgrens importen til ett produkt. Selskaper med flere produkter trenger separate lisensetterlevelsessider, eller tydelig atskilte seksjoner, per levert produkt. Å blande oversikter skaper feil i offentliggjøringen.

• Importer lockfiler eller SBOM-er fra utgivelsesbranchen, ikke main hvis den avviker.
• Inkluder fonter, ikoner, SDK-er og innebygde ressurser som retningslinjene deres krever.
• Flagg duplikater og slå sammen oppføringer som gjelder samme komponent.
• Registrer importdato og kildefilens hash for revisjonssporet.
• Ikke auto-publiser. Hver oppføring starter ikke-gjennomgått.

Bekreft for hver linje at lisensidentifikatoren stemmer med faktisk bruk, ikke bare package.json-metadata. Les copyleft-utløsere. Legg ved fullstendig lisenstekst. Dokumenter utelatelser uttrykkelig.

De som gjennomgår, fokuserer på GPL, LGPL, AGPL, proprietære SDK-er, og komponenter med manglende eller motstridende lisensdata. De radene blokkerer publisering til de er avklart.

• Match lisensen til kilden: LICENSE-filen i repoet, leverandøravtale, eller SPDX-identifikator bekreftet av et menneske.
• Legg til fullstendig lisenstekst i oversikten før den merkes som godkjent.
• Flagg copyleft, nettverks-copyleft (AGPL) og egendefinerte lisenser for gjennomgang av juridisk eller erfarne ingeniører.
• Avklar konflikter (registeret sier MIT, repoet sier Apache) før godkjenning.
• Dokumenter komponenter som er utelatt fra det leverte produktet, og hvorfor.
• Krev en ekstra godkjenner for høyrisikolisenser hvis retningslinjene deres definerer det.

Publiser kun når sperrene er passert: Ingen ikke-gjennomgåtte rader, fullstendig lisenstekst lagt ved, tydelig produktomfang, stabil URL. Den offentlige lisensetterlevelsessiden er de samme dataene som eksportene deres. Én gjennomgått oversikt, flere utdata.

Sider for offentliggjøring av tredjepartslisenser bør laste uten innlogging, liste komponenter tydelig, og inkludere fullstendig lisenstekst innkjøp kan søke i og kopiere. Det er det enterprise-gjennomganger ser etter.

• Blokker publisering hvis noen komponent innenfor omfanget mangler godkjent lisenstekst.
• Generer offentlig URL og verifiser i inkognitomodus før ekstern deling.
• Eksporter JSON-, navngivelses- og offentliggjøringspakker fra samme godkjente øyeblikksbilde.
• Registrer hvem som godkjente publiseringen, og hvilken utgivelses-tag den samsvarer med.

Lisensetterlevelse er ikke noe du gjør én gang. Nye avhengigheter, versjonsoppdateringer og lisensendringer kommer hver sprint. Avvikssjekker sammenligner gjeldende lockfiler eller SBOM-er med den sist godkjente publiseringen, og flagger forskjeller før kundene merker det.

Når oversikten endres, kjør godkjenningssperrene på nytt. Oppdater lisensetterlevelsessiden. Send oppdaterte URL-er til innkjøp først når den nye publiseringen er godkjent, ikke når importen er ferdig.

• Kjør pipeline- eller CI-sjekker ved pull request, tag eller utgivelse.
• Flagg nye ikke-gjennomgåtte pakker før utgivelse, i tråd med retningslinjene deres.
• Godkjenn copyleft-komponenter på nytt når kobling eller distribusjonsmodell endres.
• Hold revisjonssporet oppdatert: Import, gjennomgang, publisering, avvikshendelser.