GitHub détaille comment il contrôle les licences de ses dépendances open source à grande échelle

GitHub a publié sur son blog d'entreprise un article qui décrit comment son propre Open Source Program Office (OSPO) utilise un nouveau produit de contrôle des licences pour gérer les dépendances open source à l'échelle de toute l'entreprise.

Pourquoi les entreprises ont besoin d'un OSPO

Un Open Source Program Office est une équipe spécialisée que de nombreuses grandes entreprises tech mettent en place pour encadrer leur usage de code open source tiers : suivi des licences, des risques juridiques et de la conformité aux politiques internes. Pour GitHub, l'une des plus grandes plateformes de développement bâties autour de l'open source, le contrôle des licences est un enjeu particulièrement sensible. L'entreprise héberge des millions de projets open source et, dans le même temps, utilise massivement des bibliothèques tierces dans ses propres produits.

Ce que résout le produit de contrôle des licences

Le produit de contrôle des licences décrit dans l'article automatise un travail auparavant manuel : il analyse les dépendances d'un projet, identifie la licence de chaque paquet (MIT, Apache, GPL et des dizaines d'autres) et vérifie sa conformité avec la politique de l'entreprise en matière d'usage du code open source.

• L'article décrit spécifiquement la pratique de l'Open Source Program Office au sein de GitHub
• L'équipe utilise un nouveau produit GitHub de contrôle des licences des dépendances open source
• L'objectif : gérer la conformité aux licences à grande échelle (compliance at scale)

Dans une grande organisation qui compte des centaines, voire des milliers de dépôts, vérifier à la main la licence de chaque dépendance est matériellement impossible. Or un manquement aux conditions d'une licence — par exemple, l'intégration accidentelle de code sous licence copyleft dans un produit commercial propriétaire — peut entraîner des risques juridiques et réputationnels.

Ce que cela signifie

L'automatisation du contrôle des licences rejoint la boîte à outils standard du développement, au même titre que l'analyse des vulnérabilités. Le fait que GitHub teste ces processus en interne montre la direction que prend la gestion des dépendances open source dans les grandes organisations.