Licences & conformité (AGPL‑3.0 + dépendances)

Aurora Nexus est distribué sous licence AGPL‑3.0 (voir LICENSE).

Objectif de ce document : fournir un processus simple et reproductible pour rester conforme aux licences des dépendances open source utilisées (Python/Node et images conteneurs).

1) Licence du projet

• Fichier de licence : LICENSE (AGPL‑3.0).
• Mentions : NOTICE.
• Processus d’attribution : THIRD_PARTY_NOTICES.md.

2) Conformité “dépendances applicatives” (Python + UI)

2.1 Python (API / ingestion / tests)

Les dépendances Python sont définies par :

• api/requirements.txt
• ingestion/requirements.txt
• tests/requirements.txt

Pour une release, l’objectif est de produire un inventaire :

• nom du package
• version installée
• licence déclarée (metadata)

2.2 UI (Node/Next.js)

Les dépendances UI sont verrouillées par :

• ui/package-lock.json

Pour une release, l’objectif est de produire un inventaire :

• nom du package
• version
• licence (déclarée)

3) Scripts de génération (recommandé)

Scripts :

• ops/licenses/generate_reports.py

Sorties (par défaut) :

• licenses/reports/python_api.csv
• licenses/reports/python_ingestion.csv
• licenses/reports/python_tests.csv
• licenses/reports/node_ui.csv

Exécution typique :

# UI (extraction depuis package-lock.json, pas besoin de node_modules)
python3 ops/licenses/generate_reports.py --node-lock ui/package-lock.json

# Python (nécessite un environnement où les dépendances sont installées)
# Exemple via le conteneur api (stack Docker up)
docker compose exec api python3 ops/licenses/generate_reports.py --python-env api
docker compose exec ingestion python3 ops/licenses/generate_reports.py --python-env ingestion

4) Images conteneurs

Les images Docker (Postgres, Qdrant, MinIO, Redis…) ont leurs propres licences.

Recommandations :

• conserver les tags exacts des images utilisées (dans docker-compose.yml) pour traçabilité,
• documenter les images dans une release note si nécessaire (conformité entreprise),
• si vous redistribuez des images, vérifier les licences et notices associées.

5) Bonnes pratiques de release

• Ne pas modifier manuellement les rapports : les régénérer.
• Vérifier l’absence de licences “surprises” (copyleft fort) dans les dépendances UI.
• Conserver les lockfiles et exigences (pins) à jour.