> For the complete documentation index, see [llms.txt](https://docs.medcrypt.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.medcrypt.com/fr/helm/manage-sbom/manage-licenses.md). # Gérer les licences Helm prend en charge l’ingestion des informations de licence à partir des SBOM CycloneDX et SPDX, et les enrichit grâce à notre intégration de partenariat avec Tidelift. Vous pouvez également saisir ou modifier manuellement les détails de licence selon vos besoins. Pour chaque composant, vous pouvez consulter ses détails ou les modifier manuellement afin d’ajouter des informations de licence. Toutes les informations de licence s’affichent dans la **Détails de la licence** section du panneau des détails du composant. ### **Licences SPDX prises en charge** * Pour les licences SPDX actives, un lien vers l’URL de licence correspondante dans la [liste des licences SPDX](https://spdx.github.io/spdx-spec/v2.3/SPDX-license-list/). * Si votre SBOM contient des licences SPDX obsolètes, Helm conservera l’URL de la [licence SPDX obsolète](https://spdx.github.io/spdx-spec/v2.3/SPDX-license-list/#a3-deprecated-licenses) . * Helm gère également les [exceptions de licence SPDX](https://spdx.github.io/spdx-spec/v2.3/SPDX-license-list/#a2-exceptions-list). ## **Ingérer des licences depuis des SBOM CycloneDX** Helm renseigne les informations de licence à partir des sections suivantes d’un SBOM CycloneDX : * **`components > licenses`**: principale source des informations de licence. Chaque composant doit inclure un identifiant de licence, un nom ou une expression SPDX. * **`components > pedigree > notes`**: ces informations sont renseignées dans le champ **Commentaires sur la licence** . Comme le champ `notes` s’applique à tous les composants d’un SBOM CycloneDX, les informations qu’il contient seront appliquées à toutes les licences d’un composant donné. Helm ne prend pas en charge les informations de licence renseignées dans d’autres sections d’un SBOM CycloneDX. Ces informations seront conservées dans les exports, mais ignorées dans l’interface utilisateur. ## **Ingérer des licences depuis des SBOM SPDX** Un SBOM SPDX contient des packages, qui peuvent chacun correspondre à un fichier ou à un ensemble de fichiers regroupés par l’auteur du SBOM. Ces fichiers peuvent être un ou plusieurs fichiers de tout type, notamment du code source, des documents, des fichiers binaires, etc. Helm traite chaque package comme un composant. Un SBOM SPDX peut contenir des informations de licence au niveau du package, du fichier, voire d’un extrait de code. Pour chaque package contenant des informations de licence, Helm renseigne ces informations dans les détails du composant dépendant, dans la section **Licences** . Helm traite chaque package comme un composant et renseigne les informations de licence à partir des champs suivants : * **`PackageLicenseConcluded`**: champ principal utilisé pour renseigner le nom de la licence. S’il est absent, Helm utilise le champ `PackageLicenseDeclared` . * **`ExtractedLicensingInfo`**: si cette section est présente, elle fournit le nom et le texte des licences personnalisées ou non-SPDX. Lorsqu’une licence personnalisée est ajoutée, vous pouvez saisir manuellement son nom, mais aucune URL ne s’affichera. Helm ne gère pas actuellement les licences au niveau des fichiers. Si cette fonctionnalité vous est nécessaire, [faites-le-nous savoir](mailto:support@medcrypt.com) ! Si votre SBOM contient des informations de licence au niveau des fichiers, elles seront incluses dans l’export, mais ne seront pas affichées dans l’interface utilisateur. {% hint style="info" %} **Version de la spécification SPDX** Bien que Helm prenne en charge SPDX 2.2 et 2.3, cet article utilise la [spécification SPDX 2.3](https://spdx.github.io/spdx-spec/v2.3/) avec la liste de licences 3.17. Helm prend en charge les exceptions de licence SPDX, les identifiants de licence SPDX obsolètes et toutes les listes de versions. Si votre version de SPDX ou la version de la liste de licences est différente, les noms des sections ou des champs du SBOM peuvent varier ; veuillez consulter la version de la spécification SPDX qui vous concerne. {% endhint %} ## Identifier et ajouter automatiquement les licences manquantes Helm s’est associé à Tidelift pour enrichir les informations de licence des composants open source dont les détails de licence sont manquants : * **La licence du composant est définie sur No license (NONE dans SPDX)**: si un composant de votre SBOM ne comporte pas de licence, mais possède un PURL unique ou si Helm peut générer le PURL approprié, Helm interrogera Tidelift pour déterminer si des licences sont associées à ce composant. Le cas échéant, Helm ajoutera ces licences afin de vous donner une vue d’ensemble complète des informations de licence et de repérer les risques liés aux licences dans votre chaîne d’approvisionnement. * **La licence du composant est définie sur Unknown (NOASSERTION dans SPDX) :** Si la licence d’un composant de votre SBOM est définie sur **Unknown (NOASSERTION dans SPDX)**, mais que Tidelift indique qu’une ou plusieurs licences sont associées à ce composant, nous ajouterons ces licences pour vous. * **Le composant possède une ou plusieurs licences**: Si votre composant SBOM comporte au moins une licence, mais que Tidelift indique qu’elle est inexacte ou que d’autres licences sont associées à ce composant, nous ne mettrons pas à jour ces informations de licence. Si vous souhaitez que nous ajoutions cette fonctionnalité, [faites-le-nous savoir](mailto:support@medcrypt.com). {% hint style="info" %} Si vous souhaitez que nous envisagions d’ajouter la possibilité de vous proposer des suggestions de remplacement de licence, [faites-le-nous savoir](mailto:support@medcrypt.com). {% endhint %} ### Générer automatiquement une licence pour un composant existant Pour les composants existants, vous pouvez demander à Helm d’ajouter automatiquement les informations de licence. Dans le tableau **des composants** cliquez sur **Actions > Reload component**. Notez que le rechargement supprimera toutes les métadonnées que vous avez éventuellement ajoutées à ce composant, telles que les informations de revue, et réidentifiera les vulnérabilités associées. Le nombre de vulnérabilités affiché pour ce composant peut donc varier. Cette opération réduit le travail manuel nécessaire pour rechercher les informations de licence et vous garantit de disposer des informations les plus récentes issues de nos sources de données. ## Afficher les informations de licence La section **Licenses** du panneau des détails du composant affiche les champs suivants : **Type de licence :** Ce champ est renseigné à partir des informations de licence de votre SBOM. * **Expression de licence**: * Pour les composants combinant plusieurs licences SPDX avec `AND` ou `OR`, ou utilisant une exception de licence SPDX. * **Licences individuelles :** Si votre composant SBOM contient plusieurs licences SPDX qui ne sont pas combinées avec AND, OR ou +, ou s’il comporte des licences personnalisées, choisissez cette option. * **Aucune licence (NONE dans SPDX) :** Si vous avez la certitude qu’aucune licence n’est associée à votre composant SBOM, choisissez cette option. Dans un SBOM SPDX, cela est indiqué par la valeur `NONE` . * **Inconnue (NOASSERTION dans SPDX) :** Si vous ne savez pas si une licence est associée à votre composant SBOM, choisissez cette option. Dans un SBOM SPDX, cela est indiqué par la valeur `NOASSERTION` . Dans un SBOM CycloneDX, si votre SBOM ne contient aucune information de licence ou si ces informations sont vides, la valeur affichée est **Unknown** * **Licences individuelles**: pour les composants comportant plusieurs licences SPDX non combinées, ou des licences personnalisées. * **Aucune licence (NONE dans SPDX) :** Aucune licence n’est associée au composant. Dans un SBOM SPDX, cela est indiqué par la valeur **NONE** . * **SBOM CycloneDX :** Les spécifications CycloneDX 1.4 et 1.5 ne prévoient aucune valeur correspondante. Si vous ajoutez manuellement cette valeur pour une licence, puis exportez votre SBOM CycloneDX, les informations de licence de ce composant auront cette valeur dans le champ **components > licenses > license name** . * **SBOM SPDX :** Indique que l’auteur du SBOM SPDX a fourni `NONE` comme information de licence au niveau du paquet. La spécification SPDX exige que, lorsque cette information n’est pas fournie, la valeur soit définie sur `NOASSERTION`. * Pour les composants dépendants open source, Helm tentera de déterminer si une licence leur est effectivement associée. * **Inconnu (NOASSERTION dans SPDX) :** * Utilisez cette option si vous ne savez pas si une licence est associée au composant. Pour les composants dépendants open source, Helm tentera d’identifier la licence pour vous. * **SBOM SPDX :** Indique que l’auteur du SBOM SPDX a fourni `NOASSERTION` ou n’a pas fourni d’informations sur la licence au niveau du package. * **SBOM CycloneDX :** Indique que le SBOM CycloneDX ne contenait aucune information sur les licences ou que les informations sur les licences étaient vides. **Nom de la licence**: *SBOM SPDX* Pour les SBOM SPDX, ce champ est renseigné à partir des sections `PackageLicenseConcluded`, `PackageLicenseDeclared`, ou `ExtractedLicensingInfo` . **PackageLicenseDeclared** ne sera utilisé que si le champ **PackageLicenseConcluded** du SBOM est vide ou absent. * Si les informations de licence au niveau du package contiennent un `LicenseRef[idstring]` et que celui-ci **`LicenseRef[idstring]`** correspond à une entrée de la section `ExtractedLicensingInfo` , le nom de la licence et son texte intégral seront renseignés à partir de cette section dans les champs **Nom de la licence** et **Texte de la licence**, respectivement. Si le nom de la licence est absent, le terme **Licence personnalisée** sera utilisé comme nom de licence. * **Licence non-SPDX dans votre SBOM SPDX :** Si votre SBOM SPDX contenait la section **ExtractedLicensingInfo** , le champ **Nom de la licence** sera renseigné avec le nom de licence correspondant extrait du champ `ExtractedLicensingInfo > name` . * **Le SBOM SPDX contient NONE ou NOASSERTION** dans le package**:** Si le champ `PackageLicenseConcluded` contient `NONE` ou `NOASSERTION`, cette valeur sera renseignée ici. Si le composant est open source et possède un PURL unique, nous vérifierons s’il existe des informations de licence pour ce composant et, le cas échéant, les enrichirons avec les informations manquantes. * **Le SBOM SPDX ne contient aucune information de licence au niveau du package**: `NOASSERTION` sera renseigné dans le champ **License name** . * **Licences SPDX combinées avec + :** Nous ne prenons actuellement pas en charge l’ajout de licences combinées avec un signe +, comme `Apache-2.0+MIT`. Toutefois, nous l’importerons depuis votre SBOM. Si vous devez le modifier, Helm convertira automatiquement l’expression avec + en une expression utilisant AND. Si vous avez besoin de la prise en charge de +, [faites-le-nous savoir](mailto:support@medcrypt.com)! * **Exceptions de licence SPDX :** Pour ajouter une exception de licence SPDX, saisissez **WITH** après votre première licence SPDX, par exemple `GPL-2.0-or-later WITH Bison-exception-2.2.` Veillez à respecter les espaces. Après avoir saisi WITH, suivi d’une espace, vous pouvez cliquer sur la liste déroulante pour afficher uniquement les exceptions de licence SPDX valides, ou commencer à saisir du texte pour filtrer les exceptions. *SBOM CycloneDX* * Ce champ est renseigné à partir du champ `components > licenses > license > id` si le champ `id` est utilisé dans la SBOM, ou du champ `components > licenses > license > name` s’il existe. * **La SBOM CycloneDX ne contient aucune information sur les licences, ou ces informations sont vides :** Comme aucun terme défini ne correspond à l’absence d’informations sur les licences dans CycloneDX, ce champ affichera **Non défini**. **URL de la licence**: * Pour les licences SPDX, ce champ est automatiquement renseigné à partir de la liste des licences SPDX et ne peut pas être modifié. * L’URL ne s’affiche pas pour les licences personnalisées. Si vous souhaitez que nous ajoutions cette fonctionnalité, [faites-le-nous savoir](mailto:support@medcrypt.com). * SBOM CycloneDX : ce champ est renseigné à partir du champ `components > licenses > license ur`**l** . **Texte de la licence**: * **SBOM SPDX :** Pour les licences personnalisées, ce champ est renseigné à partir de la section `ExtractedLicensingInfo > text` des SBOM SPDX. * Vous pouvez ajouter ou modifier le texte des licences SPDX et personnalisées. **Commentaires sur la licence**: * **SBOM SPDX :** Ce champ est renseigné uniquement à partir du champ au niveau du paquet `PackageLicenseComment` . * **SBOM CycloneDX :** Le champ `components > pedigree > notes` contient au moins un identifiant de licence SPDX. Certains outils d’analyse automatique renseignent automatiquement ce champ avec le nom complet de la licence SPDX ou une expression SPDX utilisant AND/OR. Si le champ `notes` champ dans votre fichier SBOM, il sera ajouté en tant que **Commentaires sur la licence** pour toutes les licences de ce composant SBOM particulier. * Vous pouvez ajouter ou modifier les commentaires sur les licences SPDX et personnalisées. * Les commentaires s’appliquent à toutes les licences associées à un composant dépendant. **Source de la licence :** * **SBOM :** Les informations sur la licence ont été renseignées directement à partir de votre SBOM. * **Système :** Pour les composants open source qui ont des PURL uniques, mais aucune information de licence, Helm consulte Tidelift afin de déterminer si des licences connues sont associées à ces composants. Le cas échéant, Helm enrichit le composant avec ces informations. Helm enrichira uniquement [les informations sur la licence](#identify-and-automatically-add-missing-licenses) des composants qui n’ont aucune information de licence ; il n’ajoutera pas de licences aux composants qui en possèdent déjà une ou plusieurs, et ne remplacera pas non plus les licences existantes. * **Utilisateur :** La licence a été ajoutée ou modifiée par un utilisateur. {% hint style="info" %} **Que signifie avoir un PURL unique ?** Le PURL unique d’un composant peut être le PURL d’origine de ce composant dans votre fichier SBOM, ou un PURL ajouté ou enrichi par Helm lors du processus de mise en correspondance des composants. {% endhint %} ### **Ajouter une licence de composant** 1. Cliquez sur **Ajouter un composant dépendant** dans le bouton de menu déroulant **Add SBOM (Manage SBOMs)** . 2. Renseignez les champs obligatoires. 3. Dans la section **Détails de la licence** , sélectionnez un **Type de licence**. Choisissez **Expression de licence** si vous avez une ou plusieurs licences SPDX réunies dans une expression (par exemple avec AND, OR ou WITH), ou **Licences individuelles** si vous avez une ou plusieurs licences SPDX ou personnalisées (qui ne font pas partie d’une expression) à ajouter à un composant. Vous pouvez également sélectionner **Inconnue** ou **Aucune licence**. 4. Si vous ajoutez une expression de licence, cliquez sur le menu déroulant **Expression de licence** pour afficher la[ liste des licences SPDX](https://spdx.github.io/spdx-spec/v2.3/SPDX-license-list/) ou commencez à saisir du texte pour filtrer la liste. Vous pouvez utiliser `AND`, `OR`, ou `WITH`. Par exemple, en saisissant `Ap` vous obtiendrez les licences Apache correspondantes pour la première partie de l’expression, tandis qu’en saisissant `Apache-2.0 AND MI` vous obtiendrez toutes les licences MIT disponibles pour la deuxième partie. Veillez à respecter les espaces. 5. Si vous souhaitez ajouter une expression imbriquée, telle que `MIT AND (LGPL-2.1-or-later OR BSD-3-Clause)`, saisissez `(` pour afficher la liste des licences SPDX ou commencez à saisir du texte pour filtrer la liste. Notez que l’expression entre parenthèses sera traitée en premier. 6. Pour ajouter une exception de licence SPDX, saisissez `WITH` après la licence, puis sélectionnez l’exception dans la liste déroulante (par exemple, `GPL-2.0-or-later WITH Bison-exception-2.2`). Veillez à respecter les espaces. 7. Si vous ajoutez une ou plusieurs licences individuelles, cliquez sur la liste déroulante License name pour afficher la liste des licences SPDX, commencez à saisir du texte pour la filtrer ou continuez à saisir du texte pour entrer une licence personnalisée. 8. Pour effacer une valeur de licence, cliquez sur l’icône **x** dans le champ. 9. Pour supprimer une licence avant de l’avoir enregistrée, cliquez sur **Remove** dans la section de la licence. 10. Pour les licences personnalisées individuelles, indiquez le texte de la licence. Vous ne pouvez pas ajouter de texte pour une licence SPDX. 11. Ajoutez les commentaires sur la licence dans le champ **License comments** . Les commentaires sur la licence seront associés à toutes les licences de ce composant. 12. Pour les licences individuelles, cliquez sur **Add another license** pour ajouter une nouvelle licence. Vous ne pouvez pas ajouter de licences individuelles à une **License expression**. Vous pouvez ajouter autant de licences que vous le souhaitez. La première licence sera intitulée License 1, puis la deuxième License 2. Après l’enregistrement, ces intitulés de section seront remplacés par le nom ou l’expression de la licence correspondante. 13. Cliquez sur **Add component**. Un message de confirmation s’affiche. Si votre composant n’apparaît pas, il se peut qu’un tri soit appliqué. ### **Modifier la licence du composant** 1. Cliquez sur **Actions > Edit details** pour ouvrir les détails du composant. 2. Dans la section **License details** , cliquez sur **Edit** dans la section de la licence que vous souhaitez modifier. 3. Si vous souhaitez uniquement modifier le type de licence, le texte de la licence ou les commentaires sur la licence, cliquez sur l’icône **edit** à côté du champ concerné. Toute modification apportée aux commentaires sur la licence sera appliquée à toutes les autres licences de ce composant. 4. Effectuez les modifications souhaitées, puis cliquez sur **Save changes**. Un message de confirmation s’affiche. Si votre composant n’apparaît pas, il se peut qu’un tri soit appliqué. ### **Supprimer la licence du composant** 1. Cliquez sur **Actions > Edit details** pour ouvrir les détails du composant. 2. Dans la section **License details** , cliquez sur **Edit** dans la section de la licence que vous souhaitez modifier. Une action **Delete** s’affiche. 3. Cliquez sur **Supprimer**, puis confirmez la suppression. Vous ne pourrez pas récupérer une licence supprimée ni les données associées. Si vous supprimez la seule licence associée à ce composant, les commentaires sur la licence seront également supprimés. 4. Cliquez sur **Fermer**. La suppression a déjà été effectuée et ne peut pas être annulée. Un message de réussite s’affichera. Si votre composant n’apparaît pas, un tri est peut-être appliqué. ### **Ajouter ou modifier des licences obsolètes** Vous pouvez importer, ajouter manuellement ou modifier des licences SPDX obsolètes. Les licences SPDX obsolètes sont disponibles dans la section **Licences obsolètes** de la liste déroulante **Type de licence** . ### Filtrer les licences des composants Vous pouvez filtrer les licences sur la page SBOM pour affiner l’affichage : * ID de licence SPDX * Nom de la licence * Aucune licence (`NONE` pour SPDX) * Inconnu (`NOASSERTION` pour SPDX) * Licences personnalisées ## Exporter la SBOM avec les informations sur les licences Vous pouvez exporter votre SBOM avec des informations enrichies sur les licences dans les formats suivants. Cliquez sur **Rapports** dans la barre latérale, puis sélectionnez le format souhaité. * **SBOM FDA :** format Excel. * **Rapport de divulgation des vulnérabilités (VDR) :** format JSON. Les informations de licence manquantes seront indiquées comme `Unknown (NOASSERTION in SPDX)` dans l’exportation. * **SBOM CycloneDX** : format JSON. Les informations de licence manquantes seront indiquées comme `Unknown (NOASSERTION in SPDX)` dans l’exportation. * **SBOM SPDX** : format JSON ou XML. Les informations de licence au niveau des fichiers seront également incluses dans l’exportation, mais ne s’afficheront pas dans l’interface Helm. * **format CSV** : exportez les données de votre SBOM, y compris les informations CPE/PURL et sur les licences, dans un fichier CSV. --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://docs.medcrypt.com/fr/helm/manage-sbom/manage-licenses.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.