Lisensi Sumber Terbuka untuk Produk Komersial

Perangkat lunak bisnis sering memakai komponen buatan pihak lain. Lisensinya menentukan izin penggunaan, distribusi, dan kewajiban menyediakan kode sumber. Sebelum menerima hasil kerja vendor, minta daftar komponen beserta versi, teks lisensi, dan bukti pemenuhannya. Pisahkan komponen yang boleh dipakai dalam produk berbayar dari yang perlu pemeriksaan tambahan.

Dalam produk komersial yang saya tinjau, banyak fungsi berasal dari paket sumber terbuka. Setiap paket membawa ketentuan yang perlu diperiksa sebelum distribusi. Pemeriksaan dini membantu tim menyiapkan bukti untuk penilaian klien, pengadaan, atau pengalihan produk.

Kategori lisensi membantu menyaring risiko, tetapi jawaban akhirnya tetap mengikuti teks lisensi versi yang dipakai, cara komponen digabungkan, serta siapa yang menerima atau mengaksesnya. Panduan ini membantu pertanyaan teknis; penasihat hukum menilai penerapannya pada kontrak dan produk Anda.

Tiga kelompok izin yang perlu diperiksa

Permisif — MIT, Apache-2.0, BSD, ISC. Umumnya memungkinkan produk berbayar dengan kode tertutup. Simpan teks lisensi dan pemberitahuan hak cipta; periksa juga ketentuan perubahan, NOTICE, merek, dan paten yang relevan. “Permisif” tidak berarti tanpa kewajiban.

Copyleft terbatas — LGPL, MPL-2.0. Copyleft berarti ada kewajiban mempertahankan kebebasan atau menyediakan kode sumber pada bagian yang tercakup. Batas LGPL mengikuti pustaka dan cara penggabungannya; pengguna perlu dapat memodifikasi atau mengganti pustaka sesuai ketentuan versi lisensi. MPL mengatur berkas yang tercakup, bukan kewajiban mengganti pustaka seperti LGPL. Modifikasi dan distribusi menentukan dokumen serta kode sumber yang perlu disediakan.

Copyleft kuat — GPL, AGPL. Distribusi karya gabungan yang tercakup GPL dapat mewajibkan lisensi serta kode sumber karya itu. Komponen independen tidak otomatis menjadikan seluruh sistem bisnis GPL. AGPL Pasal 13 menambahkan kewajiban menawarkan kode sumber versi yang dimodifikasi kepada pengguna yang berinteraksi lewat jaringan. Periksa batas karya dan integrasi; label SaaS atau “internal” saja tidak menyelesaikan penilaian.

Risiko yang sering terlewat

Dependensi AGPL yang belum ditinjau

Ultralytics menyediakan kode YOLO dengan AGPL-3.0 dan opsi lisensi komersial. Sebelum memasukkannya ke produk tertutup, tentukan bagian yang tercakup, modifikasi, distribusi, dan akses pengguna. Jika kewajiban kode sumber tidak sesuai rencana produk, evaluasi lisensi komersial atau komponen alternatif. Alternatif Apache-2.0 juga perlu pemeriksaan bobot model, kumpulan data, dan kemampuan di lokasi; putuskan sebelum integrasi menjadi mahal untuk diganti.

Berkas biner LGPL yang bersembunyi di produk vendor

Produk perangkat keras tertutup, seperti kendali akses, CCTV, dan kios, sering menyertakan FFmpeg. Berkas avcodec.dll dan avformat.dll dapat berada di samping program tertutup. Periksa konfigurasi FFmpeg yang benar-benar disertakan karena komponen aktif dapat mengubah lisensinya. Penyertaan versi LGPL diperbolehkan jika kewajiban lisensinya dipenuhi, termasuk pemberitahuan, cara mengganti komponen, kode sumber yang sesuai, dan hak rekayasa balik yang relevan. Saat integrator mendistribusikan SDK itu, kewajiban tersebut ikut perlu diperiksa.

Ilusi penghubung permisif

Paket npm berlisensi MIT dapat menjadi penghubung ke pustaka native LGPL. Lisensi paket penghubung tidak menjelaskan seluruh komponen yang dimuat aplikasi. Pemindai yang hanya membaca package.json dapat melewatkan pustaka tersebut, sehingga pemeriksaan juga perlu mencakup berkas yang dimuat saat program berjalan.

SDK tanpa lisensi sama sekali

SDK untuk pengendali mesin penjual, pembaca biometrik, atau kamera kadang dikirim tanpa teks lisensi. Ketiadaan teks tidak memberi izin bebas untuk mendistribusikannya ulang. Minta hak penggunaan dan redistribusi tertulis dalam perjanjian pengadaan sebelum SDK masuk produk.

Triase lima menit

Yang saya periksa sebelum serah terima komersial

1. Inventarisasi semuanya — dependensi langsung dan transitif, serta pustaka native dan berkas biner vendor yang tidak pernah muncul di manifest.
2. Tandai yang copyleft dan yang tanpa lisensi — dua kelompok itu perlu perhatian khusus; lisensi permisif juga dapat membawa kewajiban.
3. Periksa apa yang dimuat kode, bukan hanya isi manifest — penghubung dan DLL bundelan adalah titik butanya.
4. Masukkan hak SDK vendor ke kontrak — redistribusi, sublisensi (hak meneruskan lisensi ke pihak berikutnya), dan apa yang terjadi kalau vendornya hilang.

Produk AI juga membutuhkan pemeriksaan terpisah atas lisensi kode, bobot model, dan data latih. Izin pada satu bagian tidak berlaku otomatis untuk bagian lain. Lanjutkan ke pemeriksaan lisensi komponen AI.

Untuk bagaimana keputusan lisensi bersinggungan dengan integrasi perangkat keras, lihat normalisasi perangkat IoT multiprotokol — SDK vendor adalah titik temu kedua masalah itu.