Licencias en GitHub: las excepciones también necesitan revisión
Un cambio de dependencias sin alertas de seguridad no acredita una revisión de licencias. Una comprobación verde tampoco cubre todas las formas de distribuir el producto. GitHub anunció la disponibilidad general de esta función el 16 de octubre de 2026.
Compruebe acceso y repositorios
El anuncio se refiere a GitHub Enterprise Cloud, incluida la residencia de datos, en repositorios con GitHub Code Security habilitado. No implica acceso automático para todos los planes Free o Team. La política empresarial se aplica mediante un ruleset con Require license compliance results before merging. Compruebe por separado la elegibilidad, los repositorios y la condición efectiva de fusión. Active bloquea la fusión; Evaluate anota sin ese bloqueo. Una regla adicional que exija resolver comentarios puede hacer que las anotaciones afecten a la fusión.
La unidad de revisión es la dependencia modificada
Cuando un PR añade o modifica dependencias, se contrastan los paquetes nuevos o modificados con la política. Los incumplimientos se anotan en el PR. Se puede retirar o sustituir el paquete, cambiar la política o crear una excepción. Eso no certifica todo el software ya distribuido. Registre versión y política evaluadas. Las recomendaciones siguientes son interpretación operativa.
Asigne responsable y motivo de nueva revisión
El rol Enterprise Open-Source License Manager permite designar revisores de solicitudes de cierre. El equipo puede registrar paquete, versión, PR, uso, motivo, responsable y desencadenante de revisión. Una aprobación para una demo merece revisarse si el paquete entra en una entrega al cliente. Es un proceso propuesto, no una caducidad automática de GitHub.
Compruebe antes de que el agente elija
El anuncio incluye una API de cumplimiento de paquetes y eventos de auditoría para cambios de política. Consultarla antes de instalar puede reducir sustituciones tardías. Vincule paquete, política, hora y resultado con el cambio. Un error de consulta o una licencia desconocida deben pasar a revisión, sin convertirse en permiso por defecto.
Pruebe dos PRs pequeños: uno conforme y otro deliberadamente fuera de la política. Observe las anotaciones, el bloqueo y el registro tras aprobar una excepción. Use un repositorio de prueba sin modificar código de clientes. Defina responsables y reversión antes de ampliar el alcance. Es una prueba sugerida, no ejecutada por este artículo.
La pregunta práctica es quién responde por una excepción y qué cambio obliga a revisarla. El anuncio enlaza una conversación comunitaria; aquí no se estiman participación ni adopción. Esta explicación no sustituye la evaluación jurídica de una licencia. Conserve el razonamiento y el desencadenante de revisión en el próximo PR.
Fuentes y alcance
GitHub Docs · Open source license compliance
Anuncio oficial comprobado el 17 de octubre de 2026. Consulte la documentación y la configuración actual de su cuenta.