Licencias y deuda de componentes

Una licencia no es buena o mala por su nombre. Las permisivas, como MIT o Apache-2.0, piden poco. Las de copyleft piden más, y cuánto depende de qué se hace con el componente: no es lo mismo usarlo dentro de la empresa, entregarlo a un cliente dentro de una aplicación o ponerlo detrás de un servicio al que se accede por la red. Algunas licencias, como la AGPL, ligan obligaciones al uso por red; otras, como la GPL, se activan sobre todo al distribuir.

Por eso un inventario de licencias necesita tres datos por componente: licencia, uso y política. Y por eso la lectura técnica no cierra el asunto: la decisión sobre cada caso la toma el área legal. Esta sala no da asesoría legal; enseña a preparar la evidencia que ella necesita.

La política de Saltapared (componentes/politica-licencias-saltapared.csv) marca cada licencia como permitida, por revisar o prohibida según el uso: servicio en red, distribuido o interno. Para leerla se cruza la licencia de cada componente con su uso y se mira la celda que corresponde.

Abre componentes/componentes.csv y búscale su celda a cada fila. Hay una sola prohibida.

Un componente sin soporte no recibe correcciones de seguridad. No significa que tenga una vulnerabilidad hoy, sino que cuando aparezca una no habrá parche para esa versión. Es deuda técnica con fecha: se mide contra la fecha en que se hizo la exportación, no contra una cualquiera.

Abre componentes/nota.txt para ver la fecha y cuenta con componentes/componentes.csv.

Los inventarios de componentes usan identificadores SPDX para las licencias. Cuando la herramienta no logra determinar la licencia, escribe NOASSERTION. No quiere decir que no tenga licencia, sino que no se sabe, y la política de la compradora lo trata como «por revisar» en cualquier uso: ni se aprueba ni se prohíbe hasta que alguien lo investiga.

Hay más deuda que tiempo. El criterio de orden importa: actualizar por orden alfabético o por antigüedad no reduce el riesgo. Lo que lo reduce es empezar por lo que un atacante puede alcanzar. Un componente sin soporte en un servicio alcanzable desde internet es una puerta abierta; el mismo componente en una herramienta interna es un pendiente.

componentes/exposicion-de-los-servicios.csv dice qué servicios son alcanzables y qué componentes usan.