GitHub تكشف كيف تراقب تراخيص تبعيات المصدر المفتوح على نطاق واسع

نشرت GitHub في مدونتها المؤسسية مادة توضح كيف يستخدم مكتب برنامج المصدر المفتوح (Open Source Program Office - OSPO) لديها منتجًا جديدًا لمراقبة التراخيص، بهدف إدارة تبعيات المصدر المفتوح على نطاق الشركة بأكملها.

لماذا تحتاج الشركات إلى OSPO

مكتب برنامج المصدر المفتوح (Open Source Program Office) وحدة متخصصة تنشئها شركات تقنية كبرى كثيرة لإدارة استخدام الشيفرة المفتوحة الخارجية، من خلال تتبع التراخيص والمخاطر القانونية والامتثال للسياسات الداخلية. وتبدو مهمة مراقبة التراخيص أشد إلحاحًا لدى GitHub نفسها، بوصفها من أكبر منصات التطوير القائمة على الشيفرة المفتوحة، فهي تستضيف ملايين مشاريع المصدر المفتوح، وتستخدم في الوقت نفسه مكتبات خارجية بكثافة في منتجاتها الخاصة.

ما الذي يحله منتج مراقبة التراخيص

يؤتمت منتج مراقبة التراخيص المذكور في المادة ما كان يُنجز يدويًا في السابق: فحص تبعيات المشروع، وتحديد نوع ترخيص كل حزمة (MIT وApache وGPL وعشرات غيرها)، والتحقق من توافقها مع سياسة الشركة في استخدام الشيفرة المفتوحة.

• تصف المادة ممارسات مكتب برنامج المصدر المفتوح (Open Source Program Office) داخل GitHub تحديدًا
• يُستخدم منتج جديد من GitHub لمراقبة تراخيص تبعيات المصدر المفتوح
• المهمة هي إدارة الامتثال لمتطلبات التراخيص على نطاق واسع (compliance at scale)

أما في المؤسسات الكبيرة التي تضم مئات المستودعات وآلافها، فالتحقق اليدوي من ترخيص كل تبعية أمر غير ممكن عمليًا. وقد يؤدي عدم الالتزام بشروط الترخيص، كأن تُستخدم عن غير قصد شيفرة بترخيص copyleft في منتج تجاري مغلق، إلى مخاطر قانونية وأخرى تتعلق بالسمعة.

ما معنى ذلك

تتحول أتمتة مراقبة التراخيص إلى جزء من مجموعة أدوات التطوير القياسية، إلى جانب فحص الثغرات الأمنية. وتشير تجربة GitHub لهذه العمليات على نفسها إلى الاتجاه الذي تسير فيه صناعة إدارة تبعيات المصدر المفتوح في المؤسسات الكبيرة.