Audit licences open source d'un projet npm

---
name: audit-licenses-open-source-npm
description: "Audite les licences open source d'un projet Node.js (package.json + node_modules) avant mise en prod ou release commerciale. Détecte les licences copyleft fortes (GPL, AGPL) incompatibles avec un produit propriétaire, les licences inconnues, les dépendances sans licence déclarée. Sortie : tableau Markdown des dépendances risquées, plan d'action (remplacer, isoler, valider avec le juridique). À utiliser quand un dev fullstack, tech lead, DevOps, RSSI ou CTO prépare une release, un audit de conformité ou une due diligence d'acquisition d'une base de code."
metadata:
  iaskills_title: "Audit licences open source d'un projet npm"
  metier_slug: dev
  metiers:
    - Devs et tech leads
  secteur: "Tech & DSI"
  tier: free
  compatible:
    - claude-code
    - cowork
    - cursor
    - codex
  version: "1.0.0"
  author: "iaskills"
  editorial:
    pitch: "Audit des licences OSS d'un projet Node.js avant release ou due diligence. Détecte GPL, AGPL, licences inconnues, deps sans licence. Verdict et plan d'action en un tableau."
    long_description: "Un projet Node.js typique embarque 300 à 1500 dépendances transitives, chacune avec sa propre licence open source. Certaines (MIT, Apache 2.0, BSD, ISC) sont sans souci pour un produit propriétaire ou SaaS commercial. D'autres (GPL, AGPL, SSPL) exigent de publier votre code source si vous distribuez ou hébergez le produit, ce qui casse le modèle propriétaire. D'autres encore n'ont aucune licence déclarée, ce qui les rend juridiquement inutilisables. Ce skill produit une checklist d'audit en 6 étapes calibrée sur les usages FR et EU : recensement via license-checker ou pnpm licenses, classification par risque, détection des transitives problématiques, plan d'action (remplacement, isolement, validation juridique) et note d'attestation prête à joindre à un audit RGPD ou une due diligence d'acquisition."
    bullets:
      - "Recensement complet package.json et transitives"
      - "Détection GPL, AGPL, SSPL, licences inconnues"
      - "Classification par risque commercial"
      - "Plan d'action, remplacement ou isolement"
      - "Note d'attestation pour audit ou due diligence"
    exemple_avant: "Le CTO d'une scale-up prépare la levée. Le VC demande un audit de licences OSS. L'équipe passe deux jours à grepper les package.json, oublie les transitives, produit un tableau incomplet. Le VC détecte deux licences GPL dans les deps de deps, la due diligence prend du retard."
    exemple_apres: "Le skill produit en dix minutes un tableau des 12 dépendances risquées sur 847 (dont 3 GPL en transitif, 1 AGPL, 2 sans licence), avec plan d'action détaillé (remplacer, isoler, contacter le mainteneur). Le rapport est joint tel quel à la data room, la due diligence passe sans friction."
    recommended_metiers:
      - dirigeant-pme
      - consultant
    secteurs:
      - tech-dsi
      - startup-vc
      - conseil-audit
      - finance-comptabilite
      - assurance-banque
      - secteur-public-associatif
    metiers_individuels:
      - dev-backend
      - dev-frontend
      - devops
      - architecte-si
      - cto
      - rssi-cybersecurite
      - dsi
      - chef-de-projet-it
      - qa-engineer
    connecteurs:
      - notion
      - slack
      - drive
---

# Audit licences open source d'un projet npm

## Quand utiliser ce skill

Déclencher quand un dev, tech lead, DevOps, architecte SI, RSSI ou CTO doit produire un état des lieux des licences open source d'un projet Node.js (ou monorepo pnpm / yarn workspaces) avant :

- Une release commerciale d'un produit propriétaire ou SaaS
- Une due diligence de vente ou de levée de fonds (VC demande souvent un audit OSS)
- Un audit RGPD ou de conformité sécurité (ANSSI, ISO 27001)
- La reprise d'une base de code existante (nouveau projet client, acquisition)
- Une mise à jour majeure de dépendances qui a pu introduire de nouvelles licences

Ne pas utiliser pour :

- Auditer un projet Python, Go, Rust (adapter la méthode et les outils, différents)
- Auditer le code applicatif interne (utiliser Snyk, Semgrep, GitGuardian)
- Trancher un litige juridique OSS (le rapport prépare la décision, ne la remplace pas, faire valider par le juridique)