SPDX

Définition

SPDX (Software Package Data Exchange) est un standard open source de l'ISO (ISO/IEC 5962:2021) développé par la Linux Foundation pour la description et l'échange de métadonnées de licences, de composants, et de vulnérabilités dans des Software Bills of Materials (SBOM). SPDX est l'un des deux formats de SBOM les plus adoptés (avec CycloneDX) et est reconnu par les réglementations américaines (Executive Order 14028 de la Maison Blanche) et européennes (Cyber Resilience Act) comme format standardisé pour la communication des SBOMs. Un document SPDX liste les composants d'un logiciel (packages, fichiers, snippets) avec leurs métadonnées clés : identifiant unique (SPDXID), nom et version, fournisseur, licence (exprimée en SPDX License Expression : MIT AND Apache-2.0, GPL-2.0-or-later), checksum (SHA256 du binaire/archive), et les relations entre composants (Package A DEPENDS_ON Package B). Ces informations permettent aux consommateurs d'un logiciel d'évaluer rapidement l'exposition aux licences copyleft, les risques de vulnérabilités connues, et la chaîne de dépendances complète. SPDX supporte plusieurs formats de sérialisation : TV (tag-value, le format texte original), JSON, YAML, RDF/XML, et depuis SPDX 3.0, un modèle de données enrichi. La compatibilité entre formats et la capacité à convertir automatiquement (via des outils comme spdx-tools) facilitent l'intégration dans des workflows hétérogènes. La génération de SBOMs SPDX peut être automatisée dans les pipelines CI via des outils comme Syft (Anchore), Tern (analyse d'images Docker), fossology (analyse de licences), et les outils natifs de certaines chaînes de build. GitHub génère nativement des SBOM SPDX pour les dépôts via son API de dependency graph.