License Compliance

Définition

La License Compliance (conformité des licences) en DevSecOps désigne le processus d'identification, d'évaluation et de gestion des obligations légales imposées par les licences des composants open source utilisés dans un projet logiciel. Cette discipline est devenue critique avec l'omniprésence de l'open source dans les stacks modernes : une application typique utilise des centaines de bibliothèques dont les licences varient de la très permissive (MIT, Apache 2.0) à la contraignante (GPL, AGPL). Les licences open source se classifient en plusieurs catégories aux implications très différentes. Les licences permissives (MIT, Apache 2.0, BSD, ISC) autorisent l'usage commercial et la modification sans obligation de publication du code source dérivé. Les licences copyleft faibles (LGPL, MPL) imposent des obligations seulement sur les modifications de la bibliothèque elle-même, pas sur le code qui l'utilise. Les licences copyleft fortes (GPL, AGPL) imposent que tout logiciel dérivé ou utilisant la bibliothèque soit distribué sous la même licence — une obligation potentiellement incompatible avec les modèles de logiciels propriétaires commerciaux. Les risques business liés à une mauvaise gestion des licences sont significatifs. Une entreprise distribuant un logiciel commercial incorporant une bibliothèque GPL sans respecter les termes de la licence s'expose à des litiges juridiques, des injonctions de distribuer le code source, et des dommages réputationnels. La Free Software Foundation et des organisations comme Software Freedom Conservancy ont mené des actions légales historiques sur ces bases. La mise en place d'une politique de License Compliance comprend : un inventaire automatisé des licences via des outils SCA (FOSSA, Black Duck, Mend, Snyk), une politique de licences documentée (allowlist des licences autorisées par type de projet), un processus de revue pour les cas limites, une formation des équipes de développement aux implications des licences, et des gates CI/CD bloquant l'introduction de bibliothèques à licences non conformes. L'émergence des SBOM (Software Bill of Materials) a renforcé l'importance de la License Compliance : les SBOM documentent non seulement les composants et leurs vulnérabilités, mais aussi leurs licences, facilitant les audits et les obligations réglementaires (notamment dans le secteur public américain via l'EO 14028).