SPDX a donné à chaque licence logicielle un identifiant court unique — et est devenu le format SBOM de l'ISO

En 2010, toute entreprise distribuant des logiciels devait suivre les licences et les composants, mais chaque outil et chaque équipe les orthographiaient différemment — « Apache 2 », « ASL 2.0 », « Apache-2.0 » — si bien que les données de conformité ne pouvaient pas circuler entre organisations. Le projet SPDX de la Linux Foundation a résolu le problème au niveau de l'identifiant : un format de données standard pour les composants et les métadonnées d'un paquet, ainsi qu'une liste canonique de licences avec un identifiant court stable par licence.

Parce que les identifiants étaient stables et lisibles par machine, les scanners, les auditeurs et les fournisseurs pouvaient échanger des nomenclatures logicielles sans traduction. SPDX est devenu le format SBOM de facto et a rempli ce rôle pendant une décennie dans les chaînes d'approvisionnement logicielles mondiales.

Le 24 août 2021, la spécification a été publiée sous le nom ISO/IEC 5962:2021 par l'intermédiaire de l'ISO/IEC JTC 1. La Linux Foundation a présenté cette étape comme le passage « d'une norme industrielle de facto à une norme formelle ISO/IEC JTC 1 », positionnant SPDX pour répondre aux exigences internationales en matière de sécurité et d'intégrité logicielles tout au long de la chaîne d'approvisionnement.

Un identifiant court canonique unique par licence, lisible par machine

Ce sont les orthographes ambiguës des licences, et non les litiges juridiques, qui perturbaient réellement la conformité automatisée.

Des identifiants courts stables permettaient à deux outils quelconques de s'accorder sur une licence sans revue humaine.

Une décennie en tant que format SBOM de facto signifiait que le sceau ISO entérinait une pratique plutôt que de l'inventer.

Le format composant-plus-métadonnées servait des usages de sécurité et de chaîne d'approvisionnement au-delà des licences, élargissant le cercle des parties prenantes.

La conformité échoue à cause de l'ambiguïté, non de l'intention. Normaliser l'identifiant — et non le texte juridique — permet aux outils de s'accorder automatiquement, ce qui transforme une liste de contrôle en format industriel.

L'ISO/IEC 5962:2021 a fait de SPDX la norme ouverte internationalement reconnue pour les nomenclatures logicielles, au moment même où les gouvernements commençaient à exiger des SBOM pour les marchés publics. La spécification continue d'évoluer en tant que norme ISO librement disponible sous l'égide de la Linux Foundation.