Licencias y componentes sin mantenimiento

La licencia dice qué te permite hacer el autor con el componente y qué te exige a cambio. Las licencias permisivas (por ejemplo MIT, BSD-3-Clause y Apache-2.0, que son identificadores de la lista SPDX) permiten usar y redistribuir con pocas condiciones. Las de copyleft exigen que el trabajo derivado se ofrezca con condiciones parecidas; la AGPL va más lejos y, según su texto, extiende esa exigencia al caso en que el programa se ofrece a usuarios por una red. Qué obligación nace en cada caso lo decide el área jurídica leyendo la licencia, no el analista de riesgo.

En las SBOM aparece también el valor NOASSERTION: la herramienta que la generó no pudo afirmar cuál es la licencia. No significa que no tenga licencia, sino que no se sabe, y por eso va a revisión.

La política de Lomas Verdes manda a revisión jurídica los componentes con licencia AGPL-3.0-only y los que traen NOASSERTION. Pero un caso pesa más cuando el componente se sirve a los afiliados por internet, porque es justo la situación de red que menciona la licencia.

Mira las tablas licencias y politica_de_componentes: hay un solo componente con esa licencia de copyleft de red.

La política tiene dos criterios para mandar un caso a revisión jurídica: la licencia de copyleft de red y la licencia sin afirmar. Cada componente que cumple cualquiera de los dos va a la cola de jurídica. Contar la cola sirve para saber cuánto trabajo le llega al área y avisarle con tiempo.

Un componente sin mantenimiento no recibirá correcciones cuando se descubra un fallo. Por eso las políticas fijan un criterio de abandono. El de Lomas Verdes tiene dos partes: sin versión publicada en los 24 meses anteriores al corte, o proyecto archivado por quienes lo mantenían. El corte es el 15 de marzo de 2027, así que una última versión anterior al 15 de marzo de 2025 cuenta como abandono por tiempo.

La fecha de la última versión engaña. Un proyecto puede haber publicado hace pocos meses y haberse archivado después: sus autores avisaron que ya no lo mantienen. En la tabla, una fecha reciente con estado «Archivado» sigue siendo abandono. Es el caso que una regla basada solo en fechas no atrapa, y la razón de que la política tenga un segundo criterio.