В продукте использовали открытый код и нарушили условия лицензии

Сначала остановите расширение нарушения

• Сохраните бинарные файлы, контейнеры, исходники, сценарии сборки, список зависимостей и журнал релизов.

• Приостановите новую поставку спорной сборки, если условия явно не выполнены; не стирайте репозиторий и историю коммитов.

• Определите продукты, клиентов, образы и скачивания, в которых присутствует тот же компонент.

Воспроизведите спорную сборку. Названия библиотеки без версии недостаточно: лицензия и состав файлов могли меняться, а пакет из зеркала — включать дополнительные элементы.

Проведите инвентаризацию

• Прямые и транзитивные зависимости, плагины, шрифты, изображения, модели и фрагменты кода, скопированные вручную.

• Оригинальная лицензия каждого компонента, файлы LICENSE и NOTICE, заголовки исходников и условия репозитория.

• Был ли компонент изменён, связан с вашим кодом, встроен в прошивку, передан клиенту или используется только на сервере.

• Кто принял компонент, какие проверки проводились и какие уведомления вошли в поставку.

Составьте SBOM — перечень компонентов с версиями и лицензиями. Автоматический результат сверяйте с исходным пакетом: файлы могут иметь разные условия или двойное лицензирование.

Прочитайте именно применимую лицензию

Разрешительные лицензии обычно требуют сохранить авторские уведомления и текст лицензии. Copyleft может требовать предоставить исходный код, обозначить изменения и лицензировать определённый производный материал на тех же условиях. Для сервиса, связывания, плагина и отдельной программы правила различаются.

• Проверьте обязанность передать или предложить исходный код и срок действия такого предложения.

• Уточните, какие файлы или производные работы должны распространяться под той же лицензией.

• Соблюдите правила указания авторства, текста лицензии, NOTICE, истории изменений и отказов от гарантий.

• Отдельно оцените патентные условия, ограничения товарных знаков и совместимость нескольких лицензий.

Не делайте вывод только по словам permissive или copyleft. Важны полный текст, архитектура и действие: внутреннее использование, распространение копии, сервис или модификация.

Риски спора

Программа для ЭВМ охраняется авторским правом. Использование за пределами лицензии может повлечь запрет распространения, удаление спорного кода, убытки или компенсацию по статьям 1252.1 и 1301 ГК РФ. Заявитель должен подтвердить право, конкретное использование и нарушение условия; регистрация программы для возникновения авторского права не обязательна.

Частые ошибки

• —Считают любой публичный репозиторий свободным от условий.
• —Проверяют только прямые зависимости и забывают транзитивные пакеты.
• —Обновляют текущую версию, не разбирая уже переданные клиентам сборки.

Готов ли план исправления открытого кода

Пять вопросов — и вы увидите оценку и список документов, которые понадобятся.

Что сделать по шагам