SPDX dio a cada licencia de software un identificador corto — y se convirtió en el formato SBOM de ISO

Hacia 2010, toda empresa que distribuía software tenía que rastrear licencias y componentes, pero cada herramienta y cada equipo los escribían de forma distinta —'Apache 2', 'ASL 2.0', 'Apache-2.0'—, de modo que los datos de cumplimiento no podían circular entre organizaciones. El proyecto SPDX de la Linux Foundation resolvió el problema en la capa de los identificadores: un formato de datos estándar para los componentes y metadatos de un paquete, además de una lista canónica de licencias con un identificador corto estable por licencia.

Como los identificadores eran estables y legibles por máquina, los escáneres, los auditores y los proveedores podían intercambiar listas de materiales de software sin traducción. SPDX se convirtió en el formato SBOM de facto y desempeñó ese papel durante una década en las cadenas de suministro de software de todo el mundo.

El 24 de agosto de 2021 la especificación se publicó como ISO/IEC 5962:2021 a través de ISO/IEC JTC 1. La Linux Foundation enmarcó el hito como un paso 'de un estándar de facto de la industria a un estándar formal de ISO/IEC JTC 1', posicionando a SPDX para los requisitos internacionales sobre seguridad e integridad del software en toda la cadena de suministro.

Un identificador corto canónico por licencia, legible por máquina

Lo que realmente rompía el cumplimiento automatizado eran las grafías ambiguas de las licencias, no las disputas legales.

Los identificadores cortos estables permitían que dos herramientas cualesquiera coincidieran en una licencia sin revisión humana.

Una década como formato SBOM de facto significó que el sello de ISO ratificó la práctica en lugar de inventarla.

El formato de componente más metadatos sirvió a usos de seguridad y de cadena de suministro más allá de las licencias, ampliando la base de interesados.

El cumplimiento falla por ambigüedad, no por falta de intención. Estandarizar el identificador —no el texto legal— permite que las herramientas coincidan automáticamente, y eso es lo que convierte una lista de verificación en un formato de la industria.

ISO/IEC 5962:2021 convirtió a SPDX en el estándar abierto internacionalmente reconocido para las listas de materiales de software, justo cuando los gobiernos empezaban a exigir SBOM para las adquisiciones. La especificación sigue evolucionando como estándar ISO de disponibilidad gratuita bajo la Linux Foundation.