Comment vérifier les licences d'un site web ?

Partir de ce que le site charge réellement

Une page web assemble des fichiers de provenances très différentes : polices, scripts, feuilles de style, icônes, images, parfois chargés depuis un service tiers. La liste que l'on a en tête (« on utilise WordPress et un thème ») est presque toujours plus courte que la liste réelle.

Commencez donc par un inventaire des ressources effectivement servies. Un pré-audit Licenscope en produit un en explorant les pages publiques du site : il liste chaque ressource, l'identifie quand c'est possible et indique si elle est servie par le site ou par un tiers.

Identifier chaque ressource

Une licence se rattache à une œuvre précise : une famille de polices, une bibliothèque dans une version donnée, une série d'icônes. Il faut donc d'abord savoir de quoi il s'agit. Le nom du fichier ne suffit pas, car il est souvent renommé ou regroupé par les outils de build.

Dans Licenscope, une ressource dont l'origine ne peut pas être établie est classée « À identifier ». Ce statut signifie que l'identité ou la licence est incertaine ; il n'indique pas qu'il y a une infraction.

Retrouver la licence à la source

Pour chaque ressource identifiée, la licence se lit dans le texte publié par l'auteur ou par l'éditeur : fichier LICENSE d'une bibliothèque, fichier de licence d'une famille de polices, contrat d'achat pour un produit commercial. Le dépôt officiel de Google Fonts, par exemple, précise que chaque dossier de famille contient le fichier de licence correspondant et recommande de lire la licence de chaque police utilisée.

Évitez les résumés de seconde main, y compris celui d'un outil : ils aident à s'orienter mais ne remplacent pas le texte. Les fiches de la rubrique Références renvoient vers les sources officielles de chaque licence courante.

Repérer les obligations qui s'appliquent à vous

Les licences libres courantes imposent peu de choses, mais pas rien. La licence MIT exige que la notice de copyright et la notice de permission figurent dans toutes les copies ou parties substantielles du logiciel. La licence Apache 2.0 demande, entre autres, de fournir une copie de la licence aux destinataires et de conserver les mentions de copyright, de brevet, de marque et d'attribution.

Pour une police sous SIL OFL, la licence demande que la notice de copyright et la licence accompagnent les copies distribuées, et interdit de vendre la police seule.

Pour une ressource commerciale, tout dépend du contrat : domaines autorisés, durée, type d'usage. C'est le document à retrouver, et c'est ce que vous rattachez comme justificatif.

Conserver la preuve et recommencer

Un site change : une mise à jour de thème, un nouveau script, une police ajoutée par un contributeur. Une vérification faite une fois ne vaut que pour l'état du site à cette date.

Rattachez à chaque ressource à vérifier le justificatif correspondant, faites-le valider, puis relancez une analyse après les évolutions importantes. Licenscope compare alors les analyses et signale ce qui a été ajouté, modifié ou retiré.

Ce que Licenscope ne voit pas : les dépendances internes non servies au navigateur, les images protégées, le contenu de vos contrats. Un résultat sans point ouvert n'est donc pas une garantie d'absence de problème.