GitHub-Lizenzprüfung allgemein verfügbar: Ausnahmen erneut prüfen
Ein Abhängigkeitsupdate ohne Sicherheitswarnung ist noch keine abgeschlossene Lizenzprüfung. Auch eine grüne Lizenzprüfung bewertet nicht automatisch jede Vertriebsform des Produkts. GitHub meldete am 16. Oktober 2026 die allgemeine Verfügbarkeit der Lizenzkonformitätsprüfung.
Zuerst Zugang und Ziel prüfen
Die Ankündigung gilt für GitHub Enterprise Cloud einschließlich Datenresidenz, bei Repositorys mit aktiviertem GitHub Code Security. Eine automatische Verfügbarkeit für alle Free- oder Team-Repositorys folgt daraus nicht. Die Unternehmensrichtlinie wird über ein Ruleset mit Require license compliance results before merging auf Repositorys angewandt. Zugang, Ziel und wirksame Merge-Bedingung sind getrennt zu prüfen. Active blockiert Merges, Evaluate erzeugt nur Hinweise. Eine zusätzliche Pflicht zur Kommentarauflösung kann dennoch Auswirkungen auf Merges haben.
Geprüft werden geänderte Abhängigkeiten
Bei PRs, die Abhängigkeiten hinzufügen oder ändern, werden neue oder geänderte Pakete mit der Richtlinie abgeglichen. Verstöße erscheinen im PR. Entfernen, Ersetzen, eine Richtlinienänderung oder eine Paketausnahme sind mögliche Reaktionen. Das bestätigt keine vollständige Prüfung früher ausgelieferter Software. Paketversion und geprüfte Richtlinie gehören in den Nachweis. Die folgenden Abläufe sind redaktionelle Betriebsvorschläge.
Ausnahmen brauchen Verantwortliche
Die Rolle Enterprise Open-Source License Manager unterstützt die Prüfung und Freigabe von Abschlussanfragen. Zusätzlich sollte das Team Paket, Version, PR, Nutzung, Begründung, Verantwortliche und Anlass zur erneuten Prüfung festhalten. Eine Demo-Freigabe kann bei Aufnahme in eine Kundenauslieferung neu geprüft werden. Das ist ein vorgeschlagener Prozess, keine automatische Ablaufregel von GitHub.
Vor der Paketauswahl eines Agenten prüfen
Neu sind auch eine API zur Prüfung der Richtlinienkonformität und Audit-Ereignisse bei Richtlinienänderungen. Eine Prüfung vor der Installation kann spätere Austauschkosten vermeiden helfen. Paket, Richtlinie, Zeitpunkt und Ergebnis sollten mit der Änderung verknüpft werden. Fehlerhafte Antworten oder unbekannte Lizenzen gehen zur Prüfung und gelten nicht stillschweigend als Freigabe.
Beginnen Sie mit zwei Test-PRs: einer akzeptierten und einer absichtlich unzulässigen Abhängigkeit. Prüfen Sie Hinweise, Merge-Sperre und das Protokoll nach einer Ausnahmefreigabe. Ein Test-Repository ohne Änderung an Kundencode ist sinnvoll. Verantwortliche und Rücknahmeverfahren klären, bevor die Regel breit greift. Dieser Test wird vorgeschlagen, nicht als durchgeführt dargestellt.
Für den Betrieb zählt, wer eine Ausnahme verantwortet und wann sie wieder geprüft wird. Die Ankündigung verlinkt eine Community-Diskussion; Teilnahme oder Verbreitung werden hier nicht geschätzt. Dieser Text ersetzt keine rechtliche Lizenzbewertung. Bewahren Sie beim nächsten Abhängigkeits-PR Entscheidung und Prüfanlass gemeinsam auf.
Quellen und Prüfungsumfang
GitHub Docs · Open source license compliance
Offizielle Ankündigung am 17. Oktober 2026 geprüft. Aktuelle Dokumentation und eigene Kontoeinstellungen ergänzend prüfen.