Ir para o conteúdo

Licenciamento

O PEART é licenciado em duas camadas, porque código e conteúdo são coisas diferentes. Esta página é um resumo voltado ao leitor, não parecer jurídico; os arquivos LICENSE no repositório são autoritativos.

Código: AGPL-3.0-only

O código Go é licenciado AGPL-3.0-only. Na prática isso significa: se você roda um PEART modificado como serviço de rede, tem que oferecer o código-fonte correspondente. Ela não proíbe uso comercial, auto-hospedagem, rodar uma cópia não modificada como serviço, nem consultoria paga que usa a ferramenta. É a proteção realista para uma ferramenta que se quer aberta e auditável: modificações oferecidas por rede ficam abertas, e todo o resto é permitido.

Conteúdo: CC-BY-SA-4.0

O conteúdo de técnicas e metodologias autorado para o PEART é licenciado CC-BY-SA-4.0. Você pode usá-lo comercialmente; compartilhá-lo ou a uma adaptação exige atribuição e a mesma licença. Usar a metodologia internamente não obriga você a publicar seus relatórios ou achados.

Proveniência dos catálogos

Os catálogos referenciam padrões externos, cada um sob sua própria licença, registrados com atribuição e proveniência no LICENSE-CATALOGS:

  • OWASP WSTG 4.2 e OWASP ASVS 5.0.0 são CC-BY-SA-4.0, atribuídos com nota de modificações.
  • Identificadores MITRE CWE são referenciados, não reproduzidos.
  • O crosswalk CWE-para-NIST é work-product do próprio PEART, licenciado CC-BY-4.0, mais permissivo que o conteúdo das técnicas de propósito, já que mapeia identificadores NIST de domínio público e ids CWE do MITRE e não carrega obrigação de share-alike.
  • Os pacotes de front-end vendorizados mantêm suas próprias licenças (BSD-3-Clause, MIT), listadas no SBOM.

Como as camadas são mantidas separadas

Código e conteúdo vivem em diretórios separados, cada um com seu arquivo de licença, e carregam cabeçalhos SPDX (AGPL-3.0-only no código, o identificador CC no conteúdo). É isso que deixa um repositório conter as duas licenças de forma limpa, e o que permite a um relatório citar exatamente de qual padrão e versão cada mapeamento veio.