Koda z GitHuba v komercialnem izdelku: licence in kaj preveriti

Razvijate izdelek in na GitHubu najdete že pripravljeno rešitev: knjižnico, predlogo ali celoten projekt, ki počne natanko to, kar potrebujete. Claude predlaga, da jo vključite v svoj projekt. Nato se ustavite: koda je videti javno dostopna, toda ali jo res smete uporabiti, kaj šele prodajati izdelek, ki jo vsebuje? Ali vas lahko avtor pozneje toži?

Vse bom obravnaval po vrsti: zakaj odprta koda na GitHubu sama po sebi ne pomeni dovoljenja, katere licence dovoljujejo uporabo kode in prodajo izdelka, kateri pogoji copyleft lahko zahtevajo ustrezno izvorno kodo zajetega dela, ter kako pred uporabo kode v minuti preveriti licenco. Brez odgovora »odvisno od okoliščin«.

Praktične informacije o uporabi Ailootha so v dokumentaciji.

Ali je res, da lahko brezplačno uporabljate kodo, če je na GitHubu?#

Glavna past je beseda »odprta«. Izvorno kodo lahko vidite, zato se zdi, da jo smete uporabiti, ker ni skrita. Takšno razmišljanje je napačno. »Odprta za branje« in »licencirana za uporabo« pomenita različni stvari.

Privzeto so vsa ustvarjalna dela, vključno s kodo, zaščitena z avtorskimi pravicami od trenutka nastanka. Dokler avtor izrecno ne podeli dovoljenja, jih ne smete uporabiti. Tako GitHub pojasnjuje na svoji strani z informacijami o licencah.

Druga raven je sam GitHub. Ljudje menijo, da lahko uporabljajo kodo drugih, ker so z objavo kode sprejeli pravila GitHuba. Pravila določajo ravno nasprotno. Ko avtor repozitorij nastavi kot javni, drugim dovoli le, da si ga ogledajo in ustvarijo fork — torej kopijo znotraj samega GitHuba. To ne dovoljuje uporabe kode pri vašem lastnem delu.

Ključne besede so v zadnjem stavku: »v okviru funkcij GitHuba« in »dodatne pravice se podelijo z licenco«. Fork ostane znotraj GitHuba. Ko želite kodo uporabiti v svojem izdelku, kaj šele ga prodajati, potrebujete ločeno licenco avtorja. Brez licence ni pravice, tudi če je koda povsem na očeh.

Kaj določa, ali lahko uporabite kodo nekoga drugega?#

Vse se vrti okoli ene datoteke. Dobro vzdrževan repozitorij vsebuje licenčno datoteko — običajno LICENSE, včasih LICENSE.md, ali pa je licenca navedena neposredno v README. To je avtorjevo dovoljenje, ki določa pogoje uporabe kode. GitHub ime licence običajno prikaže v stranski vrstici strani repozitorija, še preden odprete samo datoteko.

Da se ne bi izgubili v pravnem jeziku, je koristno licenco prebrati skozi tri vprašanja o vašem primeru:

1. Ali lahko to kodo uporabite v komercialnem izdelku, za katerega ljudje plačajo?
2. Ali lahko kodo spreminjate za svoje potrebe?
3. Ali morate pozneje objaviti izvorno kodo svojega izdelka ali jo lahko ohranite zaprto?

Skoraj vse razlike med licencami izhajajo iz različnih odgovorov na tretje vprašanje. Na prvi dve priljubljene odprte licence najpogosteje odgovorijo z »da«: uporabite jo, spreminjajte jo, prodajajte jo. Ljudje se spotaknejo ob vprašanje, ali jih bo licenca prisilila k objavi lastne kode. V nadaljevanju bomo glavne vrste obravnavali s temi tremi vprašanji.

Katere licence dovoljujejo uporabo kode in prodajo izdelka?#

Začnimo z dobro novico. Za nekoga, ki razvija izdelek za prodajo, je najboljša izbira skupina licenc, imenovana permisivne licence. Obstaja jih več, vendar so najpogostejše tri: MIT, Apache 2.0 in BSD. Vse tri na prvi dve vprašanji odgovorijo z »da« in vam dovolijo, da lastno izvorno kodo ohranite zaprto.

Najpogostejša in najpreprostejša je MIT. Njeno besedilo se prilega enemu odstavku.

Preprosteje povedano, MIT vam dovoljuje skoraj vse s kodo, vključno s prodajo izdelka in ohranitvijo lastne izvorne kode kot zaprte. Edina obveznost je, da vključite besedilo licence in navedbo avtorstva. Babel, .NET in Rails so na primer izdani pod licenco MIT, zato ste skoraj zagotovo že uporabljali kodo s to licenco.

Apache 2.0 deluje podobno, vendar dodaja dve pomembni točki. Prvič, izrecno varstvo pred patentnimi zahtevki: avtorji kode obljubljajo, da vas ne bodo tožili zaradi patentov na tej kodi. Drugič, nekaj dodatnih formalnih zahtev za uporabo.

BSD (v različicah z 2 in 3 klavzulami) je v bistvu podobna licenci MIT: uporabite jo, spremenite jo, prodajte jo in ohranite obvestilo o avtorskih pravicah. Vse tri licence sem združil v tabelo, da lahko na hitro vidite razlike.

Kako to uporabiti v svojem primeru: če pri kodi nekoga drugega vidite MIT, Apache 2.0 ali BSD, ste lahko brez skrbi: uporabite jo lahko v komercialnem izdelku, jo spremenite in lastno izvorno kodo ohranite zaprto. Paziti morate le, da ne odstranite licenčne datoteke in navedbe avtorstva za prevzeti del.

Kako veljajo obveznosti izvorne kode GPL in AGPL?#

Copyleft ob ustreznih pogojih ohranja zajeto delo in njegove predelave pod isto licenco. Pri GPLv3 razširjanje izvornih ali objektnih kopij zajetega oziroma združenega izpeljanega dela zahteva izpolnjevanje licence in obveznosti ustrezne izvorne kode. Ne zajame samodejno vsakega neodvisnega programa v istem izdelku ali strežniku.

Vzemimo spletno storitev. Gostovanje knjižnice GPL na lastnem strežniku brez izročanja kopij uporabnikom samo po sebi ne zahteva objave celotne storitve. Razširjanje zajete združene aplikacije strankam lahko sproži obveznosti GPL; pred odločitvijo o potrebni izvorni kodi preverite povezavo kode in licenco. Odjemalec za brskalnik, dostavljen uporabnikom, je ločeno vprašanje razširjanja.

AGPLv3 doda omrežni pogoj: če program spremenite in uporabniki s to različico komunicirajo na daljavo, jim mora vidno ponuditi ustrezno izvorno kodo. To je natančneje kot trditev, da samo gostovanje katere koli komponente AGPL odpre vsak neodvisni del storitve.

Pri lastniškem izdelku preglejte zajeto delo, kombiniranje komponent, razširjanje kopij in morebitno omrežno interakcijo AGPL. Če ne morete izpolniti ustreznih obveznosti, izberite združljivo permisivno možnost ali pridobite ločeno dovoljenje. Komercialna uporaba je dovoljena; vprašanje je skladnost z dejansko licenco in povezavo komponent.

Kaj storiti, če repozitorij sploh nima licenčne datoteke?#

Pogosta napaka je predpostavka, da brez licenčne datoteke ni omejitev in lahko kodo prosto uporabljate. Velja nasprotno. Odsotnost licence ni dovoljenje; privzeto pomeni, da dovoljenja ni. Koda brez licence ostane v celoti zaščitena z avtorskimi pravicami avtorja in se je ne smete dotakniti.

Ponovno velja pravilo, s katerim smo začeli: koda je privzeto zaščitena z avtorskimi pravicami, brez izrecnega dovoljenja pa je ne smete kopirati, spreminjati ali distribuirati. Možnost ogleda in ustvarjanja forka znotraj GitHuba te ovire ne odpravi — ne daje vam pravice do uporabe kode v lastnem izdelku.

Kaj storiti v praksi, če koda nima licence, vendar jo res potrebujete:

1. Pišite avtorju. V razdelku za razprave v repozitoriju ali po e-pošti neposredno vprašajte, ali lahko uporabite kodo in pod kakšnimi pogoji. Včasih je avtor samo pozabil dodati licenco in jo bo dodal, če ga prosite.
2. Poiščite nadomestilo. Skoraj za vsako nalogo obstaja drug, tretji ali deseti podoben repozitorij; med njimi boste našli takšnega z ustrezno licenco MIT ali Apache.
3. Ne uporabite je. Če nimate dovoljenja in ni nadomestne rešitve, koda ni vaša in je ne smete vključiti v izdelek, ki ga nameravate prodajati. Mikavna misel »kdo bo pa izvedel?« se slabo konča ravno takrat, ko začne izdelek prinašati denar in vzbujati pozornost.

Kaj če je Claude sam dodal kodo nekoga drugega v projekt?#

Tu je še ena plast, ki jo je lahko zamenjati s prvo. Nekaj drugega je, ko obiščete repozitorij in iz njega kopirate datoteko: takrat ste neposredno odgovorni za vse zgoraj navedeno glede licence. Nekaj drugega pa je, ko Claude napiše kodo kot odgovor na vašo zahtevo.

V običajnih primerih AI ustvari lastno besedilo, sestavljeno za vašo nalogo, namesto kopije datoteke nekoga drugega. Nato se vprašanje premakne na drugo področje: kdo je lastnik ustvarjene kode in ali jo lahko prodajate? To je obsežna tema zase, o kateri sem pisal v članku o tem, kdo je lastnik kode, napisane z AI.

Vendar je treba upoštevati izjemo. Včasih AI skoraj dobesedno ustvari prepoznaven del kode nekoga drugega — celotno funkcijo iz znane knjižnice. V tem primeru še vedno velja licenca knjižnice, ne glede na to, kdo je fizično pritisnil tipke. Zato je treba velike že pripravljene bloke, ki jih Claude prevzame v celoti, preveriti enako, kot bi preverili bloke, ki bi jih kopirali sami.

Kako pred uporabo kode preveriti licenco: koraki#

Vse skupaj strnimo v kratek kontrolni seznam za preverjanje kode tretjih oseb, preden jo vključite v svoj projekt. Sledite korakom od zgoraj navzdol.

1. Poiščite ime licence na strani repozitorija

   Odprite repozitorij na GitHubu. Ime licence je običajno vidno v desnem stolpcu ali pod seznamom datotek, na primer »MIT License«, »Apache-2.0« ali »GPL-3.0«. Če je polje prazno in ni licenčne datoteke, je to že opozorilni znak; k temu se vrnite v zadnjem koraku.

2. Odprite samo licenčno datoteko

   Na seznamu datotek poiščite LICENSE, LICENSE.md ali COPYING in jo odprite. Preverite, ali se ime ujema s tistim v stranski vrstici in ali licenca velja za kodo, ki jo uporabljate, ne le za ločen del repozitorija.

3. Ugotovite vrsto: permisivna ali copyleft

   MIT, Apache 2.0 in BSD so permisivne; kodo lahko uporabite v zaprtem komercialnem izdelku. GPL in AGPL sta copyleft; pred določitvijo obveznosti izvorne kode preverite zajeto delo, razširjanje in morebitni omrežni pogoj AGPL. Samo ime ne določa zajetosti neodvisnih komponent.

4. Primerjajte licenco s svojim primerom

   Odgovorite na tri vprašanja: ali izdelek prodajate, ali spreminjate kodo in ali želite izvorno kodo ohraniti zaprto? MIT, Apache in BSD so primerni za zaprt izdelek za prodajo. Pri GPL in AGPL ugotovite, katero zajeto ali združeno delo potrebuje ustrezno izvorno kodo in kdaj se obveznost sproži; ocenite izpolnljivost teh pogojev.

5. Če licence ni, kode ne uporabite

   Če ni licenčne datoteke in README ne pove ničesar o dovoljenju, kode ne smete uporabiti. Pišite avtorju in prosite za dovoljenje ali poiščite enakovredno rešitev z ustrezno licenco. »Javno dostopna« ne pomeni, da imate dovoljenje.

To preverjanje se zdi zamudno vse do prvega trenutka, ko vaš izdelek zraste, začne prinašati denar in vas nekdo vpraša o kodi tretjih oseb, ki jo vsebuje. Dve minuti na začetku staneta manj kot poznejše reševanje spora. Ločeno sem opisal, kaj storiti z izdelkom po tem, da se po zagonu ne ustavi: Z AI sem razvil izdelek; kaj sledi.

Odprite Ailoot.