Licencias y componentes sin mantenimiento

Las licencias se escriben con identificadores SPDX, y una expresión puede combinarlas. MIT OR GPL-3.0-only significa que quien recibe el componente puede elegir una de las dos; AND significa que debe cumplir las dos. Lee la tabla politica_licencias: ella dice qué licencias se aceptan sin más.

Quien interpreta la política en casos dudosos es el área jurídica. El analista la aplica y, cuando duda, la consulta.

La categoría prohibidas_en_produccion de la política nombra licencias cuyo cumplimiento la empresa decidió no asumir en lo que vende. Compara la columna licencia de componentes con esa categoría. Una licencia que exige revisión jurídica (la categoría con_revision_juridica) no es lo mismo que una prohibida: se escala, no se rechaza.

NOASSERTION es el valor que SPDX usa cuando quien generó el documento no afirma nada sobre un campo. No quiere decir «sin licencia» ni «licencia libre»: quiere decir «no se sabe». La política lo trata como prohibido hasta aclararlo con quien publica el componente.

Un componente sin mantenimiento no corrige sus fallos: cuando aparezca un aviso, no habrá versión a la que actualizar. La política define como sin mantenimiento el repositorio archivado o sin publicación en más de 24 meses. Para medir meses, cuenta meses completos entre la última publicación y el corte, que está en la nota de la tabla componentes.

Aplícalo al componente cuyo repositorio está archivado.

El componente archivado no tiene ningún aviso abierto. Eso no lo deja tranquilo: significa que si mañana aparece uno, nadie lo va a corregir. El riesgo se gestiona antes del aviso, con un plan de reemplazo con dueño y fecha.