Licenças no GitHub: exceções também precisam de revisão
Atualizar uma dependência sem alerta de segurança não encerra a análise da licença. Um resultado verde também não avalia todas as formas de distribuição. O GitHub anunciou a disponibilidade geral dessa verificação em 16 de outubro de 2026.
Confira acesso e repositórios
O anúncio abrange GitHub Enterprise Cloud, inclusive residência de dados, em repositórios com GitHub Code Security ativo. Não significa acesso automático para todos os planos Free ou Team. A política empresarial é aplicada por ruleset com Require license compliance results before merging. Confira separadamente elegibilidade, alvos e condição efetiva de merge. Active bloqueia o merge; Evaluate apenas anota. Uma regra adicional que exija resolver comentários ainda pode afetar o merge.
O objeto é a dependência alterada
PRs que adicionam ou modificam dependências verificam pacotes novos ou alterados contra a política. Incompatibilidades são anotadas na PR. Remover, substituir, alterar a política ou criar uma exceção são opções. Isso não certifica todo o software já distribuído. Registre versão e política avaliadas. As etapas seguintes são propostas operacionais.
Defina responsável e gatilho de revisão
A função Enterprise Open-Source License Manager permite indicar revisores de solicitações de encerramento. O time pode registrar pacote, versão, PR, uso, justificativa, responsável e gatilho de nova análise. Uma aprovação para demonstração pode ser revista antes da entrega a clientes. É um processo sugerido, não uma expiração automática do GitHub.
Verifique antes da escolha do agente
O lançamento inclui API de conformidade de pacotes e eventos de auditoria de alterações na política. Consultar antes da instalação pode reduzir substituições tardias. Vincule pacote, política, horário e resultado à mudança. Erros de consulta e licenças desconhecidas precisam de revisão, sem permissão silenciosa.
Comece com duas PRs de teste: uma dependência permitida e outra deliberadamente incompatível. Observe anotações, bloqueio do merge e registro após aprovar uma exceção. Use um repositório de teste sem alterar código de clientes. Defina responsáveis e reversão antes de ampliar a regra. Este é um teste proposto, não executado neste artigo.
A pergunta prática é quem responde pela exceção e qual mudança exige nova revisão. O anúncio aponta uma discussão comunitária; não estimamos participação ou adoção. Esta explicação não substitui análise jurídica de uma licença. Guarde justificativa e gatilho de revisão na próxima PR de dependências.
Fontes e escopo
GitHub Docs · Open source license compliance
Anúncio oficial verificado em 17 de outubro de 2026. Consulte documentação e configurações atuais da sua conta.