Licencias de lo que usas

Una licencia es la condición bajo la cual se te permite usar el código de otro. Las permisivas (MIT, BSD, Apache-2.0, ISC) piden poco, por ejemplo conservar el aviso de autoría. Las de copyleft pueden exigir que lo derivado se publique con la misma licencia, y las hay de alcance fuerte o débil: la AGPL, además, añade obligaciones cuando el programa se ofrece a usuarios por red, algo que un servicio web hace todo el tiempo. Los nombres cortos como «MIT» o «AGPL-3.0-or-later» son identificadores SPDX, el mismo vocabulario que usan los SBOM, y sirven para que una máquina compare con la política.

Qué implica cada una para tu empresa lo decide el área jurídica; tú detectas y llevas la evidencia.

La política de la empresa suele tener cuatro cajones: permitidas, con revisión jurídica, prohibidas y «sin licencia declarada». Se aplica al inventario fila a fila, y con una salvedad que aquí aparece escrita: el grupo de pruebas no se distribuye ni se sirve, y la política no se le aplica. Un paquete de pruebas con una licencia fuerte no es un incumplimiento; uno de producción sí puede serlo, aunque llegue como transitiva y nadie lo haya elegido.

Aplica las dos condiciones a la vez: la licencia en la lista y el grupo.

En el inventario hay un componente con el valor NOASSERTION. En SPDX significa «no afirmo nada»: la herramienta no logró determinar la licencia, por ejemplo porque el paquete no la declara en sus metadatos. No quiere decir que sea libre ni que sea de dominio público. Un código sin licencia clara está, por defecto, sujeto a los derechos de su autor, y por eso la política lo trata como prohibido hasta aclararlo. Lo que se hace es preguntarle a quien publica el paquete y, mientras tanto, abrir la incidencia.

El valor desconocido es un pendiente con dueño, no un permiso.

Un inventario de licencias solo es útil si se leen también sus huecos. Un valor NOASSERTION se detecta por su texto exacto, no por su ausencia en una columna. Si la herramienta que genera el inventario deja muchos, se habla con quien la configura: a veces basta con que lea otra fuente de metadatos.

Aísla el componente de producción que quedó sin licencia determinada.

El componente con licencia prohibida llega por una transitiva: nadie del equipo lo eligió. Eso no lo hace menos real. El ingeniero entrega el inventario, la línea de la política que se incumple y la cadena que lo trae, propone alternativas (otra versión, otro paquete que cumpla la misma función) y lleva la decisión al área jurídica. Lo que no hace: copiar el código para «quitarle» la licencia, o decidir por su cuenta que es aceptable.

Detectar, documentar y escalar es el trabajo; decidir es de otra persona.