GitHub mostra como controla licenças de dependências open source em escala

O GitHub publicou em seu blog corporativo um artigo sobre como o próprio Open Source Program Office (OSPO) da empresa usa um novo produto de controle de licenças para gerenciar dependências open source em toda a companhia.

Por que as empresas precisam de um OSPO

O Open Source Program Office é uma área especializada que muitas grandes empresas de tecnologia criam para gerenciar o uso de código aberto de terceiros. Isso inclui acompanhar licenças, avaliar riscos jurídicos e garantir a conformidade com as políticas internas. No caso do GitHub, uma das maiores plataformas de desenvolvimento baseadas em código aberto, o controle de licenças é um desafio especialmente sensível: a empresa hospeda milhões de projetos open source e, ao mesmo tempo, usa intensamente bibliotecas de terceiros em seus próprios produtos.

O que o produto de controle de licenças resolve

O produto descrito no artigo automatiza um trabalho que antes era feito manualmente. Ele escaneia as dependências do projeto, identifica o tipo de licença de cada pacote (MIT, Apache, GPL e dezenas de outras) e verifica se cada uma está de acordo com a política corporativa de uso de código aberto.

• O artigo descreve especificamente a prática do Open Source Program Office dentro do GitHub
• É usado um novo produto do GitHub para controle de licenças de dependências open source
• O objetivo é gerenciar a conformidade com os requisitos de licenças em escala (compliance at scale)

Em grandes organizações com centenas ou milhares de repositórios, verificar manualmente a licença de cada dependência é fisicamente impossível. Descumprir os termos de uma licença — por exemplo, usar por acidente código sob licença copyleft em um produto comercial fechado — pode gerar riscos jurídicos e de reputação.

O que isso significa

A automação do controle de licenças está se tornando parte do conjunto padrão de ferramentas de desenvolvimento, ao lado da varredura de vulnerabilidades. O fato de o GitHub testar esses processos em casa indica para onde caminha a gestão de dependências open source nas grandes organizações.