Licences BSL/SSPL/AGPL : le risque juridique réel pour une entreprise belge en 2026

Introduction

Ce dossier examine le risque juridique que les licences BSL, SSPL et AGPL font peser sur une entreprise belge qui héberge, modifie ou revend des logiciels open source en 2026. Le cadre applicable est le Code de droit économique (CDE) belge [1], et non le Code de la propriété intellectuelle (CPI) français [2], régulièrement présenté à tort comme transposable. La licence y est traitée comme une décision opérationnelle — héberger, modifier, revendre en marque blanche — plutôt que comme une note juridique. Sept parties structurent l'analyse : taxonomie des familles, analyse de risque par scénario, audit des outils de conformité, SBOM sous le Cyber Resilience Act, coût caché de la conformité, politique interne par couche technique et verdict. La matière provient de la synthèse d'un corpus de recherches amont et de sources primaires citées verbatim. Les angles morts résiduels — texte consolidé des articles CDE XI.294–XI.304, grille tarifaire d'audit belge détaillée, logique de détection propriétaire de FOSSA et Black Duck — sont signalés explicitement plutôt que comblés par invention.

1. Taxonomie des licences

Le droit belge encadre les programmes d'ordinateur comme des œuvres littéraires au Livre XI, Titre 6 du Code de droit économique (CDE), transposé de la directive européenne 2009/24/CE et issu de la loi du 30 juin 1994 [1]. Dans ce cadre, la licence n'est pas une mention de bas de page : elle fixe ce que l'entreprise peut héberger pour ses clients, modifier ou revendre en marque blanche. Cette partie pose le spectre des familles de licence et leurs déclencheurs, avant que les parties suivantes n'en mesurent le risque sur des scénarios concrets. L'ancrage est belge ; le Code de la propriété intellectuelle français (CPI), parfois cité pour son échelle de sanctions, est traité séparément et n'est jamais présenté comme le droit applicable à une entreprise belge [2].

La première division est le statut auprès de l'Open Source Initiative (OSI). L'OSI approuve les licences permissives, le copyleft faible et le copyleft fort — y compris l'AGPLv3 ; elle refuse les licences dites source-available — BSL, SSPL, Elastic 2.0 — au motif qu'elles violent les clauses 5, 6 et 9 de l'Open Source Definition (OSD) [3]. La conséquence est matérielle : Debian, Red Hat et Fedora ont retiré MongoDB de leurs dépôts après le passage à SSPL en 2018 [4]. Le statut OSI décide qui entre dans les distributions, donc qui arrive dans l'image de base d'un déploiement.

1.1 Familles permissives

Famille : MIT, BSD-2/3/0-Clause, Apache-2.0, ISC, CC0-1.0, Unlicense. Déclencheur : attribution seule. Aucune obligation de redistribution du source ; aucune clause réseau ; l'hébergement pour tiers n'active rien, parce que les obligations n'attachent qu'à la copie et à la distribution [5].

Clause MIT (verbatim) : « Permission is hereby granted, free of charge, to any person obtaining a copy of this software … to deal in the Software without restriction, including without limitation the rights to use, copy, modify, merge, publish, distribute, sublicense, and/or sell copies of the Software … » ; obligation unique (verbatim) : « The above copyright notice and this permission notice shall be included in all copies or substantial portions of the Software. » [6].

Clause BSD-3-Clause (verbatim) : « Redistribution and use in source and binary forms, with or without modification, are permitted provided that the following conditions are met » ; clause de non-endorsement (verbatim) : « Neither the name of the copyright holder nor the names of its contributors may be used to endorse or promote products derived from this software without specific prior written permission. » [6].

Apache-2.0 ajoute un grant de brevet. Grant de copyright §2 (verbatim) : « … each Contributor hereby grants to You a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare Derivative Works of, publicly display, publicly perform, sublicense, and distribute the Work and such Derivative Works … » [7]. Grant de brevet §3 (verbatim) : « … each Contributor hereby grants to You a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable (except as stated in this section) patent license to make, have made, use, offer to sell, sell, import … » [7]. Marque §6 (verbatim) : « This License does not grant permission to use the trade names, trademarks, service marks, or product names of the Licensor, except as required for reasonable and customary use in describing the origin of the Work … » [7]. L'asymétrie est nette : le grant de copyright est « irrevocable » ; le grant de brevet est révocable.

1.2 Copyleft faible

Famille : LGPL-2.1/3.0, MPL-2.0, EPL-1.0/2.0, CDDL. Déclencheur : partage limité aux seules modifications du composant lié. Pour la LGPL, le lien dynamique préserve le logiciel propriétaire ; le lien statique ou la copie du code étend les obligations au niveau de la GPL [8][9]. Le copyleft s'applique au fichier (MPL) ou au module (EPL), pas à l'œuvre combinée entière. Une entreprise peut embarquer un composant LGPL dans un produit propriétaire si l'architecture permet un re-lien effectif de la bibliothèque [9].

1.3 Copyleft fort

Famille : GPL-2.0/3.0, AGPL-3.0. Déclencheur : redistribution sous la même licence dès la « distribution » — toute propagation qui permet à d'autres de recevoir une copie [8][10]. La définition légale de « convey » (GPL §0) exclut la simple interaction par API sans transfert de copie : « mere interaction … is not conveying » [10]. L'usage interne ou le SaaS ne constituent pas une distribution pour la GPL [8].

L'AGPLv3 ferme la faille ASP. Section 13, « Remote Network Interaction » (verbatim) : « Notwithstanding any other provision of this License, if you modify the Program, your modified version must prominently offer all users interacting with it remotely through a computer network (if your version supports such interaction) an opportunity to receive the Corresponding Source of your version by providing access to the Corresponding Source from a network server at no charge … » [11]. Cascade de distribution §5c (verbatim) : « You must license the entire work, as a whole, under this License to anyone who comes into possession of a copy » [11]. Le déclencheur opératif est double : (a) le licencié modifie le Programme et (b) la version modifiée supporte une interaction réseau distante [11].

La lecture selon laquelle un binaire AGPLv3 non modifié, hébergé pour des clients, ne déclenche pas §13 — parce que la condition « if you modify » n'est pas satisfaite — est une hypothèse textuelle, contestée : l'intention communautaire de fermer l'« ASP loophole » soutient une lecture plus large, et la FSF distingue elle-même AGPL et SaaSS [11]. Cette lecture est le défaut textuel, pas un refuge ; toute customisation non triviale (thème, plugin, patch) la fait franchir.

1.4 Source-available / non-OSI

Famille : BSL 1.1, SSPL v1, FSL 1.1, Elastic 2.0, RSALv2, BUSL/CSL. Déclencheur : Additional Use Grant + Change Date ; licences non-open-source. La BSL 1.1 se déclare elle-même (verbatim) : « The Business Source License (this document, or the 'License') is not an Open Source license. » [12]. Grant par défaut (verbatim) : « The Licensor hereby grants you the right to copy, modify, create derivative works, redistribute, and make non-production use of the Licensed Work. The Licensor may make an Additional Use Grant, above, permitting limited production use. » [12]. Mécanisme de Change Date (verbatim) : « Effective on the Change Date, or the fourth anniversary of the first publicly available distribution of a specific version of the Licensed Work under this License, whichever comes first, the Licensor hereby grants you rights under the terms of the Change License, and the rights granted in the paragraph above terminate. » [12]. Plafond dur de quatre ans, indépendant par version ; la Change License doit être « the GPL Version 2.0 or any later version, or a license that is compatible with » celle-ci [12]. L'usage production est régi par l'Additional Use Grant du Licensor : usage interne typiquement autorisé, offre concurrente hébergée typiquement restreinte, avec licence commerciale comme échappatoire.

SSPL v1 section 13, « Offering the Program as a Service » (verbatim) : « If you make the functionality of the Program or a modified version available to third parties as a service, you must make the Service Source Code available via network download to everyone at no charge, under the terms of this License. Making the functionality … available to third parties as a service includes, without limitation, enabling third parties to interact with the functionality … remotely through a computer network, offering a service the value of which entirely or primarily derives from the value of the Program or modified version, or offering a service that accomplishes for users the primary purpose of the Program or modified version. » [13]. Cascade (verbatim) : « "Service Source Code" means the Corresponding Source for the Program or the modified version, and the Corresponding Source for all programs that you use to make the Program or modified version available as a service, including, without limitation, management software, user interfaces, application program interfaces, automation software, monitoring software, backup software, storage software and hosting software … » [13].

1.5 Statut OSI — tableau récapitulatif

Le 8 mars 2019, MongoDB a retiré SSPL de l'examen OSI ; le 19 janvier 2021, le conseil d'administration de l'OSI a publié « The SSPL is Not an Open Source License », qualifiant SSPL de « fauxpen » et citant la violation de l'OSD 6 [14]. BSL 1.1 et Elastic 2.0 subissent les mêmes motifs de refus [3].

1.6 AGPL et SSPL — deux portées distinctes

Les deux clauses §13 ne se recouvrent pas. L'AGPL §13 atteint le « Corresponding Source of your version » : le programme modifié et son source correspondant [11]. Le SSPL §13 atteint « all programs that you use to make the Program or modified version available as a service » : la pile de service entière — monitoring, backup, automation, UI de management, control-plane d'hébergement [13]. L'AGPL atteint la modification ; le SSPL atteint la stack. Les assimiler en une équivalence « AGPL = SSPL = full stack » est faux. La comparaison verbatim côte à côte est reprise en partie 2, avec la conclusion distinguée. La jurisprudence belge n'a, à ce jour, tranché ni l'une ni l'autre [15].

La taxonomie pose les déclencheurs ; l'analyse de risque qui suit les confronte à trois scénarios opérationnels et à l'appareil juridique belge.

2. Analyse de risque : trois scénarios, trois cas et l'appareil juridique belge

2.1 Matrice famille de licence × trois scénarios d'usage

La dénomination communautaire d'une licence — open source, source-available, permissive — n'équivaut pas à son effet juridique dans une situation contractuelle concrète. Une PME belge qui héberge un logiciel pour ses clients, qui le modifie ou qui le revend en marque blanche active des clauses différentes selon la famille de licence applicable [16][17]. La matrice ci-dessous croise six familles de licence avec trois scénarios opérationnels : usage interne pur, hébergement SaaS pour des clients et revente en marque blanche. Chaque cellule indique l'obligation déclenchée par le texte de licence lui-même, indépendamment de toute interprétation doctrinale ou de l'intention du vendeur.

La famille permissive (MIT, BSD-3-Clause, Apache-2.0) impose dans les trois scénarios une contrainte unique : la conservation des notices d'attribution et, pour Apache-2.0, du fichier NOTICE [5][7]. L'hébergement payant, la modification, la redistribution et la revente ne déclenchent aucune publication du code source. Le code peut être intégré dans une offre propriétaire sans que l'intégration ne constitue une œuvre dérivée au sens du copyright. L'absence de clause réseau signifie qu'un opérateur peut proposer le logiciel en service managé à des tiers sans obligation de mise à disposition du code source de sa propre infrastructure.

La famille copyleft faible (LGPL-3.0, MPL-2.0, EPL-2.0) exige la publication des modifications apportées au composant couvert, tout en autorisant la liaison avec un code propriétaire sous réserve que l'interface respecte les règles de séparation mécanique [8][9]. En usage SaaS, la LGPL ne déclenche pas d'obligation de publication du code propriétaire appelant, pour autant que le composant LGPL lui-même n'ait pas été modifié ou que ses modifications soient mises à disposition sous la même licence [9]. Le critère opérationnel est la frontière technique : liaison dynamique ou appel par API réseau versus inclusion statique ou échange de structures internes.

La famille GPL (v2 et v3) active l'obligation de publication du Corresponding Source dès que le programme est mis à disposition de tiers par distribution de copies matérielles ou numériques [8][10]. En usage SaaS sans modification ni distribution de copies, le déclencheur classique de la GPL ne s'active pas ; la frontière réseau reste hors champ de la section 3 de la GPLv3 [10]. La revente white-label sous forme de distribution on-premise déclenche en revanche l'obligation de publication intégrale du code source, y compris des modifications, accompagnée de la notice GPL.

La famille AGPLv3 introduit un déclencheur réseau conditionnel. Sa section 13 impose la mise à disposition du Corresponding Source de la version modifiée à tout utilisateur distant interagissant avec elle via un réseau informatique [11]. L'obligation s'attache à la modification du programme, non à l'infrastructure d'hébergement. Un binaire AGPLv3 non modifié, hébergé en SaaS pour des clients, ne déclenche pas l'obligation sur une lecture textuelle de la clause [11]. L'opérateur doit toutefois surveiller la dérive de modification : tout patch, plugin ou customisation substantielle fait basculer la version dans le champ de la section 13.

La famille SSPL v1 diffère de l'AGPLv3 sur la portée du déclencheur. Sa section 13 impose la publication du Service Source Code, défini comme le Corresponding Source du programme modifié, mais également de « all programs that you use to make the Program or a modified version available as a service », incluant le management software, les interfaces utilisateur, les APIs, l'automatisation, le monitoring, le backup, le stockage et l'hébergement [13]. L'obligation atteint la pile complète de livraison du service, et non seulement le code du programme couvert.

Comparaison textuelle : AGPL v3 §13 et SSPL v1 §13 (côte à côte)

AGPL v3 §13 (19 novembre 2007) : « If you modify the Program, your modified version must prominently offer all users interacting with it remotely through a computer network an opportunity to receive the Corresponding Source of your version through a computer network, at no charge. » [11]

SSPL v1 §13 (16 octobre 2018) : « If you make the functionality of the Program or a modified version available to third parties as a service, you must make the Service Source Code available via network download to everyone at no charge, under the terms of this License. […] Service Source Code includes the Corresponding Source for all programs that you use to make the Program or a modified version available as a service. » [13]

La différence est structurale. L'AGPL v3 §13 limite l'obligation au Corresponding Source de la version modifiée du programme couvert [11]. La SSPL v1 §13 étend l'obligation à « all programs that you use to make the Program or a modified version available as a service », englobant la totalité de la stack de livraison [13]. L'équivalence entre les deux clauses est juridiquement exclue : l'une atteint le programme modifié, l'autre la pile complète. La formule-pivot résume l'écart : l'AGPL atteint la modification ; le SSPL atteint la stack [18].

La famille source-available (BSL 1.1, BUSL 1.1, CSL, RSALv2, FSL) ne déclenche pas de publication du code source, mais une restriction contractuelle d'usage. L'Additional Use Grant fixe les seuils d'usage production autorisé ; leur dépassement ou l'offre d'un service concurrent entraînent la terminaison automatique du droit d'usage, le licencié devant acquérir une licence commerciale ou cesser l'usage [12]. Le risque est contractuel, non copyleft. La violation ne constitue pas une contrefaçon au sens du copyleft, mais une rupture du contrat de licence avec pour conséquence la perte immédiate du droit d'usage.

Pour une PME belge, la matrice se traduit par une règle simple : les familles permissive et weak-copyleft permettent l'hébergement SaaS sans publication du code de la stack ; la famille GPL ne déclenche l'obligation qu'en cas de distribution ; la famille AGPL conditionne la publication à la modification ; la famille SSPL exige la publication de la pile complète dès que le programme est offert comme service à des tiers, modifié ou non ; la famille source-available interdit l'usage commercial concurrent ou facturé en l'absence de licence commerciale négociée. La frontière entre usage interne et offre SaaS est la ligne de rupture pour les trois dernières familles.

2.2 Séquence corrigée : trois trajectoires de durcissement

MongoDB — mécanisme SSPL §13 et posture OSI. Le texte de la SSPL v1 §13, adopté par MongoDB le 16 octobre 2018, définit le Service Source Code comme incluant « the Corresponding Source for all programs that you use to make the Program or a modified version available as a service » [13]. La soumission à l'Open Source Initiative a été retirée le 8 mars 2019, le consensus communautaire requis n'ayant pas été atteint [14]. Le 19 janvier 2021, le conseil d'administration de l'OSI a qualifié la SSPL de licence « fauxpen », en violation de l'Open Source Definition clause 6 (non-discrimination des champs d'activité) [14]. Les distributions RHEL, Fedora et Debian ont exclu MongoDB de leurs dépôts libres postérieurement à ce constat [4]. Pour un opérateur belge, l'effet pratique est qu'héberger MongoDB Community Server en SaaS public sans licence commerciale expose à l'obligation de publier l'intégralité de la stack de service sous SSPL, incluant les outils de gestion et de monitoring propriétaires. L'évidence conservée porte sur le texte de clause et la posture de l'OSI, qui fondent le risque juridique actuel pour tout opérateur hébergeant MongoDB en SaaS.

Redis — tri-licence et fork. Le 20 mars 2024, Redis Ltd a placé les versions futures sous double licence RSALv2 + SSPL v1 [19]. La RSALv2 restreint l'usage par champ d'activité, définissant le competitive offering comme un produit vendu à des tiers chevauchant les capacités commerciales de Redis. Le 1 mai 2025, une tri-licence RSALv2 / SSPL v1 / AGPLv3 a été ajoutée pour Redis 8.0+ [19]. La FAQ du vendor précise que l'hébergement interne pour l'usage propre de l'organisation reste permis [19]. Le 28 mars 2024, le fork Valkey a été créé sous BSD-3-Clause au sein de la Linux Foundation, constituant une alternative permissive non soumise au durcissement [19]. La séquence illustre la capacité d'un vendor à modifier unilatéralement les termes de la licence outbound, même après quinze ans de BSD. Le fork Valkey constitue la réponse technique à ce durcissement, mais la migration d'une base Redis vers Valkey comporte des coûts opérationnels et de compatibilité que la PME doit évaluer.

CockroachDB Le 24 janvier 2017, Cockroach Labs a introduit la Cockroach Community License (CCL) comme sibling de la licence Apache 2.0, couvrant des fonctionnalités entreprise distinctes du cœur Apache 2.0 [20]. Le 4 juin 2019, la licence du cœur a été remplacée par la Business Source License 1.1 (v19.2), la CCL demeurant la Change License de la BSL [20]. Le 18 novembre 2024, la CSL (CockroachDB Software License) a remplacé simultanément la BSL 1.1 et la CCL avec la version 24.3.0 (PR #132057) [20]. La CSL 2024 est plus restrictive que la BSL initiale : elle fixe un seuil de revenus annuels récurrents de 10 M$, impose une télémétrie non désactivable sur le tier Enterprise gratuit et supprime le mécanisme de conversion automatique à une licence open source [20]. Le seuil de 10 M$ d'ARR signifie qu'une start-up belge en phase de croissance peut basculer du tier gratuit au tier payant sans préavis, dès que ses revenus franchissent la limite, sans bénéficier de la conversion Apache 2.0 qui existait sous la BSL. La séquence documente un mouvement de durcissement contractuel, et non d'ouverture. La formulation « BSL → CCL » est fausse : CCL est un sibling, pas un successeur ; CSL remplace les deux. L'opérateur qui aurait parié sur la conversion BSL vers Apache 2.0 au terme de quatre ans se trouve désormais sous un régime sans échappatoire programmé.

2.3 Appareil juridique belge

Le droit belge applicable aux licences de logiciel repose sur le Code de droit économique (CDE), Livre XI, Titre 6 (art. XI.294 à XI.304), issu de la loi du 19 avril 2014 et entré en vigueur le 1 septembre 2015, transposant la directive européenne 2009/24/CE relative à la protection des programmes d'ordinateur [1]. Les articles XI.291 et XI.292 du même livre consacrent respectivement la protection des programmes comme œuvres littéraires et le droit de décompilation pour interopérabilité [1]. Le Livre XI s'applique à la protection du logiciel en tant qu'œuvre, et non à la protection des données ou des brevets.

Le droit français, par contraste, prévoit dans l'article L.335-2 du Code de la propriété intellectuelle (modifié par la loi 2016-731) une peine de trois ans d'emprisonnement et de 300 000 euros d'amende pour la contrefaçon de logiciel [2]. Ces chiffres sont strictement français et ne sauraient être attribués au droit belge [2]. La confusion fréquente entre les deux ordres juridiques conduit à sous-estimer le risque pénal belge ou, inversement, à appliquer à tort le plafond français au cadre belge.

Le Livre XV du CDE belge, au niveau 6, prévoit des sanctions pénales pour la contrefaçon : une amende de 500 à 100 000 euros et une peine d'emprisonnement de un à cinq ans, auxquelles s'ajoutent des décimes supplémentaires portant le plafond effectif à environ 800 000 euros ; la récidive quinquennale entraîne le doublement des maxima [21]. Une alternative d'amende calculée sur 6 % du chiffre d'affaires est prévue [21]. La voie civile reste fréquente, privilégiant la cessation de l'usage et des dommages-intérêts. Le tribunal de l'entreprise est compétent pour les litiges commerciaux, y compris ceux portant sur la violation des clauses de licence.

Deux ordres, deux échelles

CPI (France), art. L.335-2 (loi 2016-731) : 300 000 € d'amende et 3 ans d'emprisonnement pour la contrefaçon de logiciel [2].

CDE (Belgique), Livre XV niveau 6 (art. XI.293 / XV.70–XV.104) : amende de 500 à 100 000 €, décimes supplémentaires ×8 → plafond effectif ≈ 800 000 €, ou alternative à 6 % du chiffre d'affaires ; emprisonnement de 1 à 5 ans ; récidive quinquennale = doublement des maxima ; voie civile : cessation sous art. XVII.14 §3 CDE + dommages-intérêts [21].

Les deux ordres ne partagent ni le même seuil maximal ni la même architecture sanctionnatoire. Aucun montant de 300 000 € ni aucune peine de trois ans ne doit être attribué à la législation belge.

Dans la pratique belge, les actions en contrefaçon de logiciel sont plus souvent portées par la voie civile que par la voie pénale. Le demandeur sollicite une ordonnance de cessation sous l'article XVII.14 §3 du CDE, assortie de dommages-intérêts calculés sur la base du préjudice subi. Les sanctions pénales demeurent le résidu de l'arsenal, mais leur existence modèle le comportement des opérateurs informés. Une PME belge qui héberge un outil SSPL sans se conformer à la section 13 s'expose à une action en cessation, éventuellement suivie d'une condamnation pénale si l'élément d'intention frauduleuse ou méchante est établi.

Le seul cas belge documenté touchant au copyleft est l'affaire Wallix c/ Savoir-faire Linux, jugée par le tribunal de l'entreprise de Liège le 20 février 2020 (A/19/00033) [22]. Le litige portait sur la GNU General Public License ; la décision ne traite ni de la BSL, ni de la SSPL, ni de la CSL [22]. Aucun arrêt belge n'a à ce jour tranché la portée de la clause SSPL « all programs that you use ». L'absence de précédent national sur les licences source-available et les clauses réseau étendues constitue un vide juridique que l'opérateur ne peut combler par une lecture textuelle seule.

L'enforceability de la BSL 1.1 reste un risque ouvert. Le cas le plus proche est l'envoi d'une cease-and-desist par HashiCorp à la fondation OpenTofu en avril 2024, non judiciarisé à ce jour [23]. Aucun jugement, belge, américain ou britannique, n'interprète de manière définitive la portée de l'Additional Use Grant ou le mécanisme de Change Date de la BSL [23]. La référence Hellaway (janvier 2026) relève le même constat d'absence de précédent [24]. Le risque pour une PME belge n'est donc pas la certitude d'une condamnation, mais l'incertitude sur la validité des restrictions contractuelles et leur acceptation par un tribunal belge.

Angles morts méthodologiques : Les assertions portant sur les sanctions du Livre XV reposent sur des synthèses secondaires (etaamb.openjustice.be, SPF Économie) et non sur le texte primaire consolidé [1]. Ce constat limite la certitude sur la lettre exacte des seuils pénaux belges, sans remettre en cause l'ordre de grandeur des sanctions communiqué par les autorités compétentes.

Références [22] (Tribunal de l'entreprise de Liège, Wallix c/ Savoir-faire Linux, 20 février 2020) et [24] (Hellaway, janvier 2026) sont utilisées comme preuves d'absence de précédent — à faire vérifier par un conseil habilité.

La matrice et l'appareil juridique posés, reste à savoir comment l'entreprise détecte concrètement, dans sa codebase, les composants qui relèvent de ces familles. L'audit des outils de conformité répond à cette question.

3. Audit des outils de conformité

Les analyses sectorielles indiquent qu'une application commerciale moyenne contient environ 77 % de code open source et dépend de plus de 500 bibliothèques tierces [25]. Ce ratio — à nuancer : il s'agit de la proportion de codebases contenant de l'open source, non de la proportion de code — impose un processus de conformité en quatre étapes : génération d'un SBOM, analyse des obligations légales, catégorisation et approbation des licences, puis blocage des fusions en CI/CD lorsqu'une dépendance non approuvée est détectée [25]. Aucun outil d'inventaire ne remplace l'appréciation juridique du déclencheur AGPL ou SSPL : l'outil recense, le juriste décide.

FOSSA

FOSSA propose une solution SaaS commerciale qui combine un inventaire des licences déclarées et des barrières de politique (policy gates) configurables par l'utilisateur [26]. La documentation relative aux règles de politique par défaut ne mentionne pas SSPL ni BSL ; le traitement de ces licences reste entièrement défini par le client et n'est pas prédéfini par l'éditeur [26]. Les données sont traitées sur des serveurs situés aux États-Unis sur la base de Data Processing Frameworks ; aucune région européenne n'est documentée à ce stade [26]. La tarification distingue des paliers publics (free, business) et des offres enterprise ou on-prem disponibles sur devis. L'absence de défaut éditeur pour SSPL et BSL oblige l'entreprise à construire manuellement ses règles de détection.

Black Duck Polaris

Black Duck Polaris est une offre commerciale qui prend en charge une région européenne pour le stockage et le traitement des données [27]. La logique exacte qui déclenche la détection des familles SSPL, BSL et AGPL n'est pas publique : le marketing évoque des catégories de licences et des niveaux de sévérité, tandis que les mécanismes internes de correspondance restent propriétaires [27]. La tarification n'est pas publiée et relève d'un devis personnalisé. L'auditeur ne peut pas reproduire localement la chaîne de décision qui classe une dépendance dans l'une de ces familles.

ScanCode

ScanCode est un moteur open-source hébergé par la Linux Foundation. Il assure une détection des licences en mode offline et s'intègre nativement dans des pipelines d'intégration continue [28]. Sa logique de correspondance est entièrement publique et auditable, ce qui permet à l'auditeur de vérifier comment une licence est identifiée sans dépendre d'un serveur distant. L'outil fonctionne sous licence open-source et ne transfère pas de données vers un cloud tiers pour analyse.

Syft

Syft, développé par Anchore, est un générateur open-source de SBOM aux formats SPDX et CycloneDX couvrant plusieurs langages et formats [29]. L'outil capture les licences déclarées des paquets analysés au moment de la construction de l'artefact. Une issue (n° 2861) reste ouverte pour étendre cette capture à l'ensemble des paquets qui ne déclarent pas encore explicitement leur licence [29]. Syft s'intègre dans des chaînes CI/CD pour produire des artefacts standardisés exploitables par d'autres outils d'analyse.

license-checker

license-checker est un utilitaire npm maintenu par davglass. Il liste les licences des dépendances Node.js avec des expressions SPDX et documente le comportement en cas de licence inconnue (flag UNKNOWN) [30]. Sa portée se limite strictement au registre npm et il ne fournit pas de SBOM standardisé au sens SPDX ou CycloneDX. L'outil reste pertinent pour des audits rapides de projets isolés.

Verdict comparatif

Le tableau ci-dessous oppose les solutions open-source (ScanCode, Syft) aux solutions commerciales (FOSSA, Black Duck Polaris) sur cinq axes opérationnels.

Transparence sur le gap rule-logic propriétaire

FOSSA et Black Duck Polaris ne publient pas la logique exacte qui déclenche l'étiquetage d'une dépendance comme SSPL, BSL ou AGPL [26][27]. Leurs documentations marketing regroupent ces licences en familles avec des niveaux de sévérité, sans détailler les critères techniques de correspondance ni les seuils de déclenchement. Cette opacité structurelle limite la répétabilité de l'analyse et empêche l'auditeur de vérifier indépendamment un résultat affiché dans le tableau de bord. L'inventaire automatique reste un préalable documenté ; la qualification juridique du déclencheur AGPL ou SSPL relève d'une analyse humaine que l'outil ne fournit pas — et qui doit, en particulier, distinguer AGPL et SSPL plutôt que de les confondre dans une seule règle « strong copyleft ».

L'inventairelicense débouche naturellement sur le SBOM, document qui structure cet inventaire et dont la production devient obligatoire sous le Cyber Resilience Act.

4. SBOM sous le Cyber Resilience Act 2024/2847

Le Règlement (UE) 2024/2847, dit Cyber Resilience Act (CRA), est entré en vigueur le 10 décembre 2024 [31]. Ses obligations principales deviennent applicables le 11 décembre 2027, soit trente-six mois après cette entrée en vigueur [31]. L'Annexe I, Partie II, point 1, impose aux fabricants de produits numériques de fournir un Software Bill of Materials (SBOM) recensant de manière structurée les composants logiciels intégrés [31]. Cette exigence vise à garantir la traçabilité des éléments constitutifs du logiciel, y compris les bibliothèques et dépendances open source, dans une perspective de gestion des vulnérabilités, de maintenance en conditions de sécurité et de transparence à l'égard des utilisateurs finals.

Les formats de SBOM les plus répandus sont SPDX, normalisé sous la référence ISO/IEC 5962:2021 par la Linux Foundation [32], CycloneDX, maintenu par l'Open Worldwide Application Security Project (OWASP) [33], et SWID, élaboré par le National Institute of Standards and Technology (NIST) [34]. Chacun de ces standards permet de lister les composants logiciels et les licences qui leur sont associées. Cette dualité crée un pont entre la conformité sécurité — l'inventaire des dépendances servant à identifier les vulnérabilités — et la conformité licence — la détection des obligations attachées à des licences comme l'AGPL, la SSPL ou la BSL — au sein d'un même pipeline d'intégration et de déploiement continus (CI/CD). Le SBOM devient ainsi un document unique véhiculant à la fois des données de cybersécurité et des informations juridiques.

Le déploiement d'un outil de génération de SBOM ferme le gap d'identification automatique des composants et de leurs licences dans des environnements de développement hétérogènes. Syft, développé par Anchore en open source, constitue un moteur couvrant plusieurs langages et formats de package capable de produire des SBOM aux formats SPDX et CycloneDX [29]. La commande syft . -o cyclonedx-json > sbom.json illustre la génération d'un fichier SBOM au format CycloneDX à la racine d'un projet. Syft détecte les dépendances, leurs versions et leurs licences dans des environnements variés, de la racine du projet aux images de conteneurs. L'outil Grype, développé par la même entité, permet de croiser ce SBOM avec des bases de données de vulnérabilités, ce qui articule la conformité CRA 2024/2847 — dont les obligations deviennent applicables le 11 décembre 2027 [31] — avec la surveillance continue des risques de sécurité [35].

Une comparaison avec le droit américain éclaire le périmètre de l'obligation européenne. L'Executive Order 14028 du 12 mai 2021 impose la fourniture d'un SBOM pour les logiciels vendus au gouvernement fédéral des États-Unis [36]. Par contraste, le CRA 2024/2847 étend cette exigence à tout produit numérique mis sur le marché intérieur de l'Union européenne, indépendamment du caractère public ou privé de l'acheteur [31]. L'Executive Order 14028 constitue un texte exécutif à portée sectorielle fédérale, tandis que le CRA opère comme un règlement d'application directe et générale à l'ensemble du marché intérieur.

En Belgique, le CRA s'applique directement en vertu de sa qualité de règlement de l'Union européenne ; aucune transposition nationale n'est requise. L'entreprise belge qui distribue un produit numérique relevant du champ du CRA se trouve soumise à ses obligations de cybersécurité, y compris la fourniture du SBOM. Le Code de droit économique (CDE) belge continue de régir les obligations de propriété intellectuelle et de licence [1]. Les deux régimes s'appliquent de manière concurrente au même produit : le CRA encadre l'obligation d'inventaire sécuritaire, tandis que le CDE encadre le respect des licences open source et des restrictions de redistribution. Un SBOM établi conformément au CRA peut dès lors servir de référentiel d'évidence pour la traçabilité des licences exigée par la politique interne de conformité.

Hypothèse : si l'entreprise belge distribue un produit numérique relevant du champ du CRA, elle doit se préparer à produire un SBOM complet d'ici le 11 décembre 2027. À défaut de preuve jurisprudentielle contraire, on pose l'hypothèse qu'aucune décision belge n'a encore précisé l'articulation concrète entre les obligations du CRA et celles du CDE, ni la portée exacte du SBOM attendu au sens de l'Annexe I, Partie II, point 1 du règlement. La confirmation de ces points relève d'un conseil habilité près le barreau belge. L'angle mort — exigence SBOM belge spécifique au-delà du CRA — est explicitement signalé : aucune telle exigence nationale n'est documentée dans le corpus.

Le SBOM quantifie l'inventaire ; il ne dit rien du coût de l'analyse juridique que cet inventaire rend nécessaire. Ce coût caché est l'objet de la partie suivante.

5. Le TCO caché de la conformité

L'intégration d'un composant sous licence AGPL, SSPL ou BSL dans le périmètre technique d'une entreprise belge déclenche un coût de conformité qui n'apparaît dans aucune grille SaaS ni dans aucun calcul de retour sur investissement standard. L'audit légal de la codebase, l'analyse des obligations de publication et la vérification des flux de déploiement deviennent inévitables dès lors qu'un module sous copyleft fort ou une licence source-available pénètre la chaîne de production. Ce coût, systématiquement omis des budgets projets car il n'est pas facturé par un éditeur tiers, constitue le TCO caché de la conformité. Sa dimension spéculative est accrue pour le BSL, aucune décision de justice publiée n'interprétant cette licence à ce jour ; le seul incident adjacent documenté est le cease-and-desist adressé par HashiCorp à OpenTofu en avril 2024, resté sans suite judiciaire [23].

Le précédent AGPL et son ancrage territorial limité

Le seul arrêt de justice publié identifié à ce jour sur l'application de l'AGPL v3 dans un litige entre entreprises est celui rendu par la Cour d'appel de Bordeaux dans l'affaire Linagora c/ Blue Mind, le 27 janvier 2025, sous le numéro d'affaire 20/03220 [37]. La cour a retenu que l'article 8 de l'AGPL v3 avait provoqué la résiliation automatique de la licence après trente-neuf jours de non-conformité [37]. Les dommages-intérêts alloués au titre de la contrefaçon s'élèvent à environ 266 792 €, dont 150 000 € au titre du préjudice moral, auxquels s'ajoutent des sanctions de publication ayant un effet réputationnel et commercial distinct [37]. Cette décision constitue une jurisprudence française géographiquement limitée ; elle ne produit pas d'effet de droit en Belgique et aucun arrêt belge, américain ou britannique équivalent n'a été publié à ce jour [15]. Son existence n'en demeure pas moins le seul repère chiffré public sur l'exposition civile au titre de l'AGPL.

Le coût de l'audit juridique en Belgique

Pour évaluer le TCO en juridiction belge, il convient d'examiner le coût horaire d'un audit spécialisé. Les barèmes auto-déclarés observés sur le marché belge en 2024 placent les taux des cabinets spécialisés dans une fourchette de 175 à 220 € de l'heure pour Lambert & Baus (Bruxelles) et de 190 à 230 € de l'heure pour Frédéric Dechamps [38]. Une fourchette générale observée sur le même marché s'étend de 150 à 300 € de l'heure selon l'expertise requise (propriété intellectuelle, Code de droit économique, SaaS licensing) et selon la complexité du stack technique à auditer [38]. L'effet de la rareté de l'expertise combinée en droit des licences open source et en droit économique belge explique en partie cette variation.

Sur la base de ces taux, l'estimation d'un audit complet d'une codebase d'entreprise moyenne — comprenant l'inventaire des dépendances transitives, l'analyse des obligations de publication, la revue des procédures de déploiement et la rédaction d'un rapport de conformité — se situe entre 25 000 et 120 000 € [unverified]. Ce chiffrage n'est pas confirmé par une source belge publiée ; il s'agit d'une extrapolation indicative issue des taux horaires précités appliqués à une charge de travail estimée. L'étendue de la fourchette reflète l'absence de standardisation de la méthodologie d'audit en la matière. Cet angle mort mérite d'être signalé explicitement : la grille tarifaire détaillée au-delà des deux points cités est tronquée dans la source amont, et aucune grille complète n'est reconstituée ici [38].

Asymétrie entre conformité préventive et exposition pénale

Face à ce TCO, un programme de conformité léger apparaît comme une alternative à coût borné. ECOSIRE chiffre la charge d'un tel programme à deux à quatre heures par trimestre pour une petite équipe, charge généralement internalisée sans recours externe [25]. Ce temps, bien que marginal dans un sprint trimestriel, suppose une familiarité préalable avec les obligations des licences concernées. Il exige également une veille continue sur les évolutions des clauses, ce qui constitue une charge récurrente souvent sous-estimée. L'asymétrie coût/bénéfice est nette : quelques heures de revue trimestrielle, souvent réalisées par le responsable juridique ou le lead technique, peuvent prévenir une sanction de niveau 6 dont le montant excède de plusieurs ordres de grandeur le coût de la revue.

Cette distinction doit être rapportée aux cadres juridiques respectifs. Le chiffre de 300 000 € d'amende et de trois ans d'emprisonnement mentionné dans certains commentaires relève de l'article L.335-2 du Code de la propriété intellectuelle français, modifié par la loi 2016-731 [2][16]. Une entreprise belge n'est pas soumise à ce cadre. Son exposition relève du Code de droit économique (CDE), article XI.293, qui sanctionne la contrefaçon « méchante ou frauduleuse » au niveau 6 par une amende de 500 à 100 000 € et un emprisonnement d'un à cinq ans [21]. Les décimes supplémentaires, mécanisme propre au droit pénal belge, peuvent multiplier l'amende par huit, soit un plafond effectif d'environ 800 000 €, ou s'appliquer à hauteur de 6 % du chiffre d'affaires [21]. En cas de récidive, les maxima sont doublés. La comparaison entre les deux ordres de grandeur fait apparaître une divergence structurelle : le cadre français et le cadre belge ne partagent ni le même seuil maximal ni la même architecture sanctionnatoire.

Limites des données tarifaires

La grille tarifaire d'audit belge présentée ci-dessus n'est pas exhaustive. Les données sont partielles, auto-déclarées et non vérifiées de manière indépendante. Les tarifs varient sensiblement selon que l'expertise requise relève de la propriété intellectuelle pure, du Code de droit économique ou du conseil en licensing SaaS. Un cabinet orienté propriété intellectuelle appliquera des taux différents d'un cabinet spécialisé en droit pénal économique. Aucun barème officiel ou syndiqué ne couvre l'ensemble du marché belge de l'audit forensique des licences open source.

Le TCO de la conformité se présente comme un investissement asymétrique. Il s'agit d'un coût certain et borné, mesurable en heures d'audit et en heures de revue trimestrielle, opposé à une exposition pénale et civile dont le plafond, en droit belge, atteint 800 000 € voire 6 % du chiffre d'affaires, sans compter l'emprisonnement. L'absence de précédent judiciaire belge, tout comme l'absence de toute jurisprudence sur le BSL, ne supprime pas cette exposition ; elle la rend simplement non chiffrable a priori. Cette imprévisibilité place le décideur devant un choix de gestion du risque fondé sur des données partielles.

Le TCO éclaire le coût de l'analyse ; la politique interne détermine où l'entreprise accepte de l'engager, couche par couche.

6. Politique interne par couche : approuver, tolérer, interdire

Ce chapitre pose un cadre opérationnel par couche technique. Il ne constitue pas un avis juridique. La licence détermine ce que l'opérateur peut faire de l'outil aujourd'hui ; le CLA, la gouvernance et le statut v1.0 déterminent ce que le vendor peut faire demain [39]. La licence se traite comme une décision opérationnelle — héberger, modifier, revendre en marque blanche — non comme une note de bas de page juridique.

Cadre de tiering

Cinq tiers, ramenés à la couche de reporting en trois verdicts (approuvé / toléré / interdit) [39] :

• T1 Approuvé (vert) — MIT, BSD-2/3, Apache-2.0, ISC, CC0-1.0, MPL-2.0 : aucune contagion copyleft dans aucun déploiement.
• T2 Toléré (ambre) — LGPL-2.1/3.0, EPL, CDDL, PostgreSQL : copyleft conditionnel, sûr avec intégration maîtrisée (lien dynamique, isolation API, publication des modifications sous même licence).
• T3 Restreint (rouge, déclencheur distribution) — GPL-2.0/3.0, AGPL-3.0 (distribution) : la distribution d'une œuvre combinée oblige la publication du source du composant GPL ; l'AGPL déclenche aussi sur l'accès réseau [11].
• T4 Critique (rouge, déclencheur réseau) — AGPL-3.0 (SaaS), SSPL, RSALv2, ELv2, BUSL-1.1, BSL, Commons Clause : l'accès réseau déclenche la publication du source complet ou des restrictions d'offre concurrente [13][12].
• T5 Interdit — SSPL, RSALv2, ELv2, BUSL-1.1 (compétitif) : le périmètre interdit l'usage prévu sans licence commerciale négociée.

Les dépassements des tiers T3/T4/T5 relèvent du droit belge : CDE Livre XI Titre 6 (protection des programmes, transposition Directive 2009/24/EC) et Livre XV niveau 6 (sanctions pénales, art. XI.293 / XV.70–XV.104 : amende 500–100 000 €, décimes supplémentaires ×8 → plafond ≈ 800 000 €, ou 6 % du chiffre d'affaires, peine d'emprisonnement 1–5 ans, récidive quinquennale = doublement des maxima) ; voie civile fréquente : cessation sous art. XVII.14 §3 CDE + dommages-intérêts, compétence du tribunal de l'entreprise [1][21]. Le montant français (300 000 € + 3 ans, CPI art. L.335-2) ne s'applique pas en Belgique [2][16][17].

Tableau récapitulatif — cinq picks par couche technique

Développement par couche

Base de données — Supabase. Monorepo Apache-2.0 ; auth MIT, postgres PostgreSQL License. Usage interne et hébergement pour clients sûrs, sous réserve du rebrand : Apache §6 ne confère aucun droit de marque au-delà de l'attribution descriptive — l'opérateur héberge, modifie, revend, mais ne peut l'appeler « Supabase » ni utiliser le logo [7]. Alternative PocketBase (MIT) : pré-version 1.0, mainteneur unique bénévole, clause « no promises for maintenance and support » [40] ; la licence la plus permissive porte ici le risque forward le plus élevé. Retenir Supabase pour le patent grant Apache §3 : « each Contributor hereby grants to You a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable ... patent license » [7] — arme défensive que PocketBase (MIT) et Appwrite (BSD-3) ne mettent pas en main. Exit = gap énoncé : aucun fork de fondation Supabase documenté ; exit structurel = stack permissive vendored (Postgres, auth, realtime/storage) + fork de la dernière release Apache du monorepo [18].

Auth — Supabase Auth (gotrue). Licence MIT, plus permissive que le monorepo Apache-2.0 — le split de licence est load-bearing. Usage interne, hébergement pour clients et marque blanche permis : la MIT autorise explicitement « sublicense, and/or sell copies » [6]. Aucun patent grant. Exit = irrévocabilité de la MIT sur les versions distribuées : si l'auth est relicensée, l'opérateur fork la dernière release MIT. Exit par irrévocabilité, pas par fondation.

Workflow — Inngest. Serveur SSPL v1.0 greffé d'une DOSP (Grant of Future License, 3 ans rolling) ; SDKs Apache-2.0. Usage interne sûr ; hébergement pour clients restrictif : la clause 13 du SSPL oblige alors à publier la Service Source Code (management, UI, APIs, automation, monitoring, backup, storage, hosting) sous SSPL gratuitement [13] ; marque blanche prohibée sauf isolation via les SDKs Apache et conversion DOSP. Alternative n8n (Sustainable Use License, modèle Elastic License 2.0, sans Change Date ni conversion) : « You may use or modify the software only for your own internal business purposes or for non-commercial or personal use. » / « You may distribute the software or provide it to others only if you do so free of charge for non-commercial purposes. » / « You may not alter, remove, or obscure any licensing, copyright, or other notices of the licensor in the software. » [41] — l'hébergement payant y est interdit plat par la clause. Retenir Inngest pour la DOSP irrévocable : « We hereby irrevocably grant you an additional license to use the Software, under the Apache License, Version 2.0, that is effective on the third anniversary of the date we make the Software available. » [42] — timer verrouillé que le vendor ne peut révoquer. Exit = la DOSP elle-même : gap nuancé, pas un trou.

CRM — Twenty. Licence AGPL-3.0 avec rider commercial Twenty.com (NOASSERTION détecté par GitHub). Le préambule du fichier LICENSE indique : « This project is mostly licensed under the GNU General Public License (GPL) as described below. However, certain files within this project are licensed under a different commercial license. These files are clearly marked with the following comment at the top of the file: /* @license Enterprise */ » [43]. Usage interne sûr. Hébergement pour clients sûr si le core n'est pas modifié et les extensions restent à distance via l'API GraphQL et les webhooks ; seams documentées : « Logic functions run in isolated Node.js processes », « Front components run in Web Workers using Remote DOM » [43] — présomption rébuttable, pas refuge. Marque blanche prohibée si le core modifié est servi sur le réseau (déclenche §13 AGPL) [11] ; la sortie est alors la licence commerciale. CLA Twenty : « perpetual, worldwide, non-exclusive, royalty-free, irrevocable copyright license to ... sublicense, and distribute » [43] — préserve l'option de relicensing. Contre-point Documenso (monorepo AGPL-3.0 + package ee commercial, sans timer) : « This Commercial License applies only to the part of this Software that is not distributed under the AGPLv3 license. Any part of this Software distributed under the MIT license or which is served client-side as an image, font, cascading stylesheet (CSS), file which produces or is compiled, arranged, augmented, or combined into client-side JavaScript, in whole or in part, is copyrighted under the AGPLv3 license. » [44] — modularité de providers pensée pour le swap technique, pas pour l'isolation licence. Exit = gap énoncé : aucun fork de fondation Twenty documenté ; mitigations fragiles (waivers au cas par cas [unverified], AGPL-3.0-only irrévocable sur les versions conveyées, extensions sur l'API).

Documentation — Outline. Licence BSL 1.1 → Apache 2.0 au Change Date 2030-06-06 (version 1.8.1). Additional Use Grant : « You may not use the Licensed Work for a Document Service. » où « A "Document Service" is a commercial offering that allows third parties (other than your employees and contractors) to access the functionality of the Licensed Work by creating teams and documents controlled by such third parties. » [45] ; « Change Date: 2030-06-06 » ; « Change License: Apache License, Version 2.0 ». Usage interne sûr ; hébergement pour clients et marque blanche prohibés s'ils constituent un Document Service commercial (« selling, reselling, or hosting Outline as a service ... automatically terminates your rights »). Clause per-version : « This License applies separately for each version of the Licensed Work and the Change Date may vary for each version of the Licensed Work released by Licensor. » [45] — la dérive est autorisée (blobs historiques suggérant un Change Date glissant de 2026-05-23 à 2030-06-06 [unverified]). Exit = la Change Date elle-même : BSL → Apache 2.0 à l'échéance calendaire ; rester sur une version ancienne fige la date plus tôt, suivre le « current » recule l'horizon.

Recommandations transverses

1. SBOM systématique (CycloneDX ou SPDX) pour chaque release — base de la cartographie des licences.
2. Matrice de compatibilité licences — croiser licence × mode d'intégration (lien statique, lien dynamique, appel API, copie) × scénario (usage interne, hébergement clients, marque blanche, on-prem) selon la méthode en quatre étapes (identifier la licence et sa version, qualifier l'intégration, croiser, documenter dans le registre IP) [8] ; appliquer le tiering T1–T5 [39].
3. Politique interne signée — document formel approuvant/tolérant/interdisant par tier, signé, avec procédure d'exception dual-licensing documentée pour les tiers restreints.
4. CI/CD bloquante — gate de conformité : un composant T3/T4/T5 non approuvé bloque le merge ; automatiser la détection (tag explicite SSPL/BSL requis, absent de la policy par défaut [26] ; Syft pour le SBOM CycloneDX/SPDX [29]).
5. Veille trimestrielle (2–4 h/trimestre) — revue des changements de licence des composants en production ; surveiller les signaux forward-risk (CLA sublicensable, gouvernance single-vendor, mainteneur unique bénévole, pré-version 1.0, acquisition, changement de CEO).
6. Clauses contractuelles clients et sous-traitants — flow-down des obligations de licence : le sous-traitant qui héberge ou modifie hérite des contraintes ; encadrer l'usage marque blanche dans les contrats clients.
7. Formation 2–4 h/trimestre — équipes dev/ops sur la lecture des licences, les déclencheurs copyleft (distribution vs réseau), la distinction AGPL ≠ SSPL.

Angles morts

L'alignement des composants existants avec le tiering T1–T5 est ouvert — à vérifier projet par projet.

Le dossier cite les articles de code par leur numéro et les sanctions par leur barème, sans reproduire le texte intégral [1]. La grille tarifaire d'audit belge détaillée n'est pas documentée au-delà de deux points (Lambert & Baus 175–220 €/h, Frédéric Dechamps 190–230 €/h) ; aucune grille complète n'est reconstituée [38].

La politique par couche donne à l'opérateur un cadre d'action ; le verdict synthétise ce qui, dans l'ensemble du dossier, doit retenir la décision immédiate.

7. Verdict

La cartographie des dépendances logicielles constitue la première mesure opérationnelle immédiate que l'entreprise doit mettre en œuvre au sein de ses équipes de développement et de production. L'outil Syft, développé par Anchore, génère des SBOM aux formats CycloneDX et SPDX, permettant une traçabilité exhaustive et automatisée des composants intégrés dans les livrables logiciels [29]. Cette démarche s'inscrit dans le cadre impératif du Règlement UE 2024/2847, dit Cyber Resilience Act, entré en vigueur le 10 décembre 2024, dont les obligations principales s'appliqueront le 11 décembre 2027 [31]. La seconde décision immédiate porte sur la distinction sémantique et juridique entre l'AGPL v3 et la SSPL v1 dans les processus internes d'évaluation des risques. L'article 13 de l'AGPL v3, daté du 19 novembre 2007, exige la publication du Corresponding Source de la version modifiée du programme [11]. L'article 13 de la SSPL v1, élaborée par MongoDB, impose quant à lui le Service Source Code, soit l'ensemble des programmes utilisés pour rendre le logiciel disponible en tant que service [13]. Elles ne doivent pas être amalgamées dans la documentation interne ni dans les formations — conclusion développée en parties 1 et 2.

La troisième décision immédiate vise à corriger une confusion récurrente entre les sanctions pénales françaises et belges dans les documents de conformité. Les peines de 300 000 € et de trois ans d'emprisonnement prévues par l'article L.335-2 du Code de la propriété intellectuelle français ne trouvent pas application sur le territoire belge [2]. Le droit belge applicable relève du Code de droit économique, notamment du Livre XI Titre 6 et du Livre XV niveau 6, qui prévoient un régime distinct [1][21] — distinction portée par l'encadré « Deux ordres, deux échelles » en partie 2. Cette confusion, fréquente dans les publications généralistes, expose l'entreprise à une sous-estimation erronée de son risque réel. Aucun montant de 300 000 € ni aucune peine de trois ans ne doit être attribué à la législation belge dans les analyses de risque.

L'évolution des licences de CockroachDB offre une illustration factuelle du durcissement vendor étalé sur sept ans consécutifs. La version 1.6, publiée le 24 janvier 2017, reposait sur une combinaison de l'Apache 2.0 et de la CockroachDB Community License (CCL) [20]. Le 4 juin 2019, la version 19.2 a substitué la Business Source License (BSL) 1.1 à l'Apache 2.0 tout en conservant la CCL comme licence complémentaire pour certains modules [20]. Le 18 novembre 2024, la version 24.3.0, objet du pull request #132057, a remplacé de manière définitive le binôme BSL et CCL par la CockroachDB Software License (CSL) [20]. Cette séquence chronologique de 2017 à 2019 puis à 2024 ne saurait se résumer à une transition directe et simplifiée de la BSL vers la CCL — CCL est un sibling, CSL remplace les deux. Elle constitue une illustration factuelle de la stratégie de restriction progressive de l'usage par l'éditeur au gré des versions successives (cf. partie 2).

L'analyse coût-bénéfice met en évidence une asymétrie marquée entre l'effort de conformité requis et l'exposition pénale encourue par l'entreprise. Une gouvernance trimestrielle de deux à quatre heures suffit à identifier les composants soumis à obligation de publication et à évaluer leur criticité au regard de la stratégie commerciale effectivement déployée [25] — coût détaillé en partie 5. Cette charge minimale de surveillance se heurte à une exposition pénale belge de niveau 6. Le Code de droit économique prévoit des amendes pouvant atteindre environ 800 000 €, soit la fourchette de 500 à 100 000 € multipliée par huit décimes, ou alternativement 6 % du chiffre d'affaires annuel consolidé de l'entreprise [21]. Ces sanctions s'accompagnent d'une peine d'emprisonnement d'un à cinq ans selon la gravité constatée des faits [21]. Le coût de la conformité reste négligeable au regard de cette exposition pénale et financière directe.

La portée juridique de la Business Source License demeure un angle mort dans l'analyse de risque licence de l'entreprise. Aucune juridiction belge n'a à ce jour tranché la question de la validité ou de l'étendue de la BSL, ni de la Server Side Public License, sur le territoire belge [15][24]. Les seuls indices factuels disponibles sont la mise en demeure adressée par HashiCorp à OpenTofu en avril 2024, qui n'a pas donné lieu à une procédure judiciaire publique à ce jour [23], et l'analyse publiée par Hellaway en janvier 2026 [24]. Ces éléments ne constituent pas une jurisprudence et ne sauraient remplacer un arrêt de principe. La BSL doit donc être traitée comme un risque ouvert, ni établi, ni exclu, dans les plans de conformité établis. Toute stratégie de conformité qui l'écarterait sans fondement judiciaire local repose sur une hypothèse non vérifiée.

L'ensemble des constats aboutit à cinq positions consolidées que le rapport retient comme fondement. L'AGPL v3 et la SSPL v1 diffèrent sur la portée de la publication obligatoire, le premier visant le Corresponding Source, le second le Service Source Code [11][13] (parties 1 et 2). La BSL constitue un risque jurisprudentiel ouvert en l'absence de toute décision judiciaire belge [15][23][24] (parties 2 et 5). Les sanctions prévues par le Code de la propriété intellectuelle française et celles du Code de droit économique belge ne sont pas interchangeables [2][21] (partie 2). Le choix de licence relève d'une décision opérationnelle dictée par l'usage prévu, qu'il s'agisse d'héberger, de modifier ou de revendre en marque blanche [39] (partie 6). Le présent rapport adopte une focalisation belge : le cadre normatif applicable est le Code de droit économique, issu de la loi du 30 juin 1994 coordonnée en 2014, et non le droit français régulièrement présenté à tort comme transposable [1] (parties 1, 2 et 4).

Sources

• [1] Code de droit économique (CDE) belge — Livre XI, Titre 6 (art. XI.291, XI.292, XI.294–XI.304 ; protection des programmes d'ordinateur) ; loi du 30 juin 1994 relative au droit d'auteur, coordonnée par la loi du 19 avril 2014, entrée en vigueur le 1 septembre 2015, transposant la directive 2009/24/CE — etaamb.openjustice.be / WIPO Lex BE005. (Angle mort : texte consolidé XI.294–XI.304 non récupéré intégralement, base ejustice tronquée.)

• [2] Code de la propriété intellectuelle (France), art. L.335-2 (modifié par LOI 2016-731) — 300 000 € d'amende et 3 ans d'emprisonnement pour contrefaçon de logiciel.

• [3] Open Source Definition, clauses 5, 6, 9 — opensource.org/osd.

• [4] Retrait de MongoDB des dépôts Debian, Fedora et Red Hat après le passage à SSPL (2018-2019).

• [5] Free Software Foundation (FSF) — FAQ sur les licences permissives — gnu.org.

• [6] Textes des licences MIT et BSD-3-Clause — opensource.org/licenses.

• [7] Apache License 2.0, §2 (grant de copyright), §3 (grant de brevet), §6 (marque) — apache.org/licenses/LICENSE-2.0 (janvier 2004).

• [8] FSI Avocats — « Licences open source contaminantes : GPL, AGPL, LGPL », fsiavocat.com, 12 janvier 2026.

• [9] Free Software Foundation (FSF) — FAQ LGPL : lien dynamique vs statique, re-lien effectif — gnu.org.

• [10] GNU GPL v3, §0, définition de « convey » — gnu.org/licenses/gpl-3.0 (29 juin 2007).

• [11] GNU AGPL v3, §13 (« Remote Network Interaction ») et §5c — gnu.org/licenses/agpl-3.0 (19 novembre 2007).

• [12] Business Source License 1.1 (BSL) — mariadb.com/bsl11.

• [13] Server Side Public License v1, §13 (« Offering the Program as a Service ») — mongodb.com/legal/licensing/server-side-public-license (16 octobre 2018).

• [14] Open Source Initiative — « The SSPL is Not an Open Source License », 19 janvier 2021 — opensource.org.

• [15] Jurisprudence belge sur SSPL, BSL et AGPL : aucun arrêt recensé à la date de rédaction (angle mort ouvert).

• [16] Atias Avocats — « Licences open source en entreprise : les pièges 2026 », atiasavocats.com, 2026.

• [17] Initial Legal — « Open source et SaaS : risques juridiques des bibliothèques à licence », initial.legal, 2026.

• [18] Fichier d'intégration /█████████/Bureau/deliverable (5).md (25 juin 2026) — source d'intégration (matrice dix outils × scénarios, cinq picks par couche technique, esquisse TCO break-even, formule-pivot AGPL/SSPL, clauses verbatim) ; base d'intégration, non base canonique.

• [19] Redis Ltd — passage à RSALv2 + SSPL v1 le 20 mars 2024 ; tri-licence RSALv2 / SSPL v1 / AGPLv3 le 1 mai 2025 (Redis 8.0+) ; fork Valkey (BSD-3-Clause) créé le 28 mars 2024 sous l'égide de la Linux Foundation ; FAQ vendor (usage interne permis) — redis.io / valkey.org.

• [20] CockroachDB — séquence de licences : Apache-2.0 + CCL sibling (v1.6, 24 janvier 2017) → BSL 1.1 remplace Apache-2.0, CCL demeure Change License (v19.2, 4 juin 2019) → CSL remplace BSL + CCL (v24.3.0, 18 novembre 2024, PR #132057 ; seuil ARR 10 M$, télémétrie non désactivable sur le tier free) — finding amont t7.

• [21] Code de droit économique (CDE) belge — Livre XV, niveau 6 (art. XI.293 / XV.70–XV.104) : amende 500–100 000 €, décimes supplémentaires ×8 (plafond ≈ 800 000 €) ou 6 % du chiffre d'affaires, emprisonnement 1–5 ans, récidive quinquennale = doublement ; voie civile : cessation sous art. XVII.14 §3 CDE + dommages-intérêts ; compétence du tribunal de l'entreprise — etaamb.openjustice.be.

• [22] Tribunal de l'entreprise de Liège, Wallix c/ Savoir-faire Linux, 20 février 2020, A/19/00033 (GNU GPL).

• [23] HashiCorp — mise en demeure (« cease-and-desist ») adressée à la fondation OpenTofu, avril 2024 (non judiciarisé à ce jour).

• [24] Hellaway — analyse de la Business Source License, janvier 2026.

• [25] ECOSIRE — « Conformité des licences Open Source : un guide pratique pour les éditeurs de logiciels », ecosire.com, 16 mars 2026 (statistique 77 % / 500 dépendances, reprise de Synopsys OSSRA — proportion de codebases, non de code ; programme léger 2–4 h/trimestre ; workflow 4 étapes).

• [26] FOSSA — Configuring default policy rules, docs.fossa.com (SSPL/BSL absents de la policy par défaut) ; traitement des données aux États-Unis, Data Processing Frameworks, aucune région EU documentée.

• [27] Black Duck Polaris — région EU supportée ; rule-logic de détection SSPL/BSL/AGPL propriétaire et non public — docs techniques Black Duck.

• [28] AboutCode / Linux Foundation — ScanCode toolkit (détection offline, CI-friendly) — github.com/aboutcode-org/scancode-toolkit.

• [29] Anchore — Syft, générateur open-source de SBOM (SPDX, CycloneDX) — github.com/anchore/syft ; guide CycloneDX, oss.anchore.com ; issue #2861 (capture multi-langages).

• [30] davglass — license-checker (npm), expressions SPDX, flag UNKNOWN — github.com/davglass/license-checker.

• [31] Règlement (UE) 2024/2847 (Cyber Resilience Act) — entrée en vigueur le 10 décembre 2024 ; obligations applicables le 11 décembre 2027 ; Annexe I, Partie II, point 1 (SBOM) — eur-lex.europa.eu.

• [32] SPDX — ISO/IEC 5962:2021 (Linux Foundation) — spdx.org.

• [33] CycloneDX — OWASP — cyclonedx.org.

• [34] SWID — National Institute of Standards and Technology (NIST) — csrc.nist.gov.

• [35] Anchore — Grype (croisement SBOM / bases de vulnérabilités) — github.com/anchore/grype.

• [36] US Executive Order 14028 — 12 mai 2021 (SBOM pour les logiciels vendus au gouvernement fédéral des États-Unis) — whitehouse.gov.

• [37] Cour d'appel de Bordeaux, Linagora c/ Blue Mind, 27 janvier 2025, n° 20/03220 (AGPL v3, art. 8 : résiliation automatique après 39 jours de non-conformité ; ≈ 266 792 € de dommages-intérêts dont 150 000 € au titre du préjudice moral ; sanctions de publication).

• [38] Marché de l'audit juridique belge 2024 — Lambert & Baus (Bruxelles, 175–220 €/h), Frédéric Dechamps (190–230 €/h) ; fourchette générale 150–300 €/h — finding amont t17. (Angle mort : grille tarifaire détaillée tronquée au-delà de ces deux points.)

• [39] Tiering modèle T1–T5 (Approved / Tolerated / Restricted distribution / Critical network / Prohibited) — cadre opérationnel de politique interne, finding amont t19.

• [40] PocketBase — README, github.com/pocketbase/pocketbase (pré-version 1.0, mainteneur unique bénévole, clause « no promises for maintenance and support »).

• [41] n8n — Sustainable Use License (modèle Elastic License 2.0, sans Change Date ni conversion) — github.com/n8n-io/n8n/blob/master/LICENSE.md.

• [42] Inngest — Grant of Future License (DOSP, timer 3 ans rolling) — github.com/inngest/inngest/blob/main/LICENSE.md.

• [43] Twenty — LICENSE (AGPL-3.0 + rider commercial Twenty.com, marqueurs /* @license Enterprise */) ; CLA — github.com/twentyhq/twenty.

• [44] Documenso — packages/ee/LICENSE (monorepo AGPL-3.0 + package ee commercial, sans timer) — github.com/documenso/documenso.

• [45] Outline — LICENSE v1.8.1 (BSL 1.1 → Apache 2.0, Change Date 2030-06-06 ; Additional Use Grant interdisant le Document Service ; clause per-version) — github.com/outline/outline.