GitHub a expliqué comment il contrôle la conformité des licences open source à l'échelle

GitHub a publié un article sur son blog d'entreprise sur la façon dont son propre Open Source Program Office (OSPO) utilise un nouveau produit pour contrôler les licences afin de gérer les dépendances open source à l'échelle de toute l'entreprise.

Pourquoi les entreprises ont besoin d'OSPO

Open Source Program Office est une division spécialisée que de nombreuses grandes entreprises technologiques créent pour gérer l'utilisation de code open source tiers : suivre les licences, les risques légaux et la conformité aux politiques internes. Pour GitHub lui-même, en tant que l'une des plus grandes plates-formes pour le développement basé sur le code open source, la tâche du contrôle des licences est particulièrement aiguë — l'entreprise héberge simultanément des millions de projets open source et utilise activement des bibliothèques tierces dans ses propres produits.

Ce que le produit de contrôle des licences résout

Le produit de contrôle des licences discuté dans l'article automatise ce qui était auparavant fait manuellement : analyser les dépendances du projet, déterminer le type de licence pour chaque paquet (MIT, Apache, GPL et des dizaines d'autres) et vérifier la conformité avec la politique d'entreprise concernant l'utilisation de code open source.

• L'article décrit la pratique du Open Source Program Office au sein de GitHub
• Un nouveau produit GitHub est utilisé pour contrôler les licences des dépendances open source
• L'objectif est de gérer la conformité aux exigences de licence à l'échelle

Pour les grandes organisations avec des centaines et des milliers de référentiels, vérifier manuellement les licences pour chaque dépendance est physiquement impossible — le non-respect des conditions de licence (par exemple, l'utilisation accidentelle de code avec une licence copyleft dans un produit commercial fermé) peut entraîner des risques juridiques et réputationnels.

Ce que cela signifie

L'automatisation du contrôle des licences devient partie intégrante de la boîte à outils standard du développement, aux côtés de l'analyse des vulnérabilités — et le fait que GitHub teste de tels processus sur lui-même montre où l'industrie se dirige en matière de gestion des dépendances open source dans les grandes organisations.