Propriété intellectuelle et licences
Le fond du sujet est traité ailleurs : les familles de licences et ce qu’elles imposent, les mécanismes qui déclenchent une obligation, le verdict par type de produit et les pièges qui échappent à la grille. La licence en tant que donnée du SBOM est dans La licence comme donnée du SBOM.
Cette page-ci décrit le dispositif : la politique, le processus, le registre et les livrables.
Pourquoi c’est un chantier CRA
Le CRA n’exige pas la conformité aux licences. Mais il exige un SBOM, et un SBOM correctement renseigné rend la conformité aux licences automatisable pour la première fois. C’est un bénéfice collatéral majeur, et l’argument qui permet de financer l’outillage sur deux budgets plutôt qu’un.
La politique de licences
Trois listes, déclinées par contexte d’usage :
| Contexte | Ce qui change |
|---|---|
| Produit distribué au client | Le plus restrictif : le copyleft fort est en liste noire |
| Service en ligne | Le copyleft réseau (AGPL) devient bloquant |
| Outil interne non distribué | Le plus permissif : la plupart des obligations ne se déclenchent pas |
| Code de test non livré | Régime allégé, mais surveillé |
La politique est un document versionné, approuvé, avec une date d’effet. Elle est publiée aux équipes et exécutée par la chaîne de construction, pas seulement affichée.
Le processus, de bout en bout
- Détection. Le SBOM porte les licences ; la plateforme les confronte à la politique.
- Décision automatique. Liste blanche : la construction passe. Liste noire : la construction échoue. Liste grise : avertissement et création d’un ticket.
- Analyse. L’ingénierie documente le chemin d’introduction du composant, l’usage réel, et propose une option : remplacer, isoler, ou demander une exception.
- Décision juridique. Le juridique statue, avec conditions et date d’expiration.
- Enregistrement. Inscription au registre des exceptions, horodatée.
- Réexamen. À l’expiration, ou plus tôt si le contexte change.
Le registre des exceptions
| Colonne | Contenu |
|---|---|
| Composant et version | Identifié par purl |
| Licence | Expression SPDX complète |
| Produit et contexte | Où l’exception s’applique |
| Motif de la demande | Absence d’alternative, coût de migration, criticité |
| Conditions | Isolation technique, absence de distribution, attribution renforcée |
| Date d’expiration | Obligatoire |
| Décideur | Nom et fonction |
| Statut | Active, expirée, révoquée |
Une exception sans date d’expiration devient une règle non écrite. C’est le principal défaut observé dans les dispositifs existants.
Les livrables
| Livrable | Quand | Généré depuis |
|---|---|---|
Fichier d’attributions (NOTICE) livré avec le produit |
À chaque version | Le SBOM |
| Offre écrite de fourniture du code source | Si un composant sous copyleft le requiert | Le registre |
| Rapport de conformité pour un client | Sur demande | Le SBOM + le registre |
| Inventaire par licence du portefeuille | Trimestriel | La plateforme |
Le fichier d’attributions est le manquement le plus fréquent et le plus facile à corriger : sa génération doit être automatique et sa présence vérifiée en CI.
La préparation aux audits
Les demandes viennent de trois sources : clients grands comptes, investisseurs lors d’une opération, et acquéreurs. Elles portent toujours sur les mêmes points :
- l’existence d’une politique de licences écrite et appliquée ;
- la complétude de l’inventaire, y compris transitif ;
- la cohérence entre l’inventaire et les attributions livrées ;
- le traitement des licences à obligations fortes ;
- le registre des exceptions et sa tenue.
Répondre à ces demandes est instantané si le dispositif est en place, et représente plusieurs semaines de travail sinon. C’est le meilleur indicateur de la maturité réelle.
Le point de friction à traiter
Une politique de propriété intellectuelle interdisant à vos salariés de publier du code entre en conflit direct avec l’obligation du règlement de remonter les correctifs de sécurité aux projets amont — voir Intégrer de l’open source.
Les deux politiques doivent être réconciliées par écrit, avec une procédure de contribution suffisamment légère pour être compatible avec un délai de correction de quelques jours.