Licences exactes de PostgreSQL, de Redis et des briques de téléphonie (notice juridique)
Cette notice fixe, pour chaque version livrée ou cataloguée, la licence exacte des deux briques de données que la
distribution utilise sans en être l'éditeur. Elle est vérifiée par
services/control-plane/tests/test_architecture_decisions.py::test_postgresql_redis_legal_notice_matches_catalogs, qui
la compare au catalogue des composants (catalog/components), au catalogue hôte du Manager
(navin-manager/catalog/services), aux exceptions de licence (catalog/licence-exceptions.yaml) et au SBOM des
briques serveur (release/sbom-servers/platform-servers.spdx.json).
| Brique | Version | Où | Licence SPDX | Exception |
|---|---|---|---|---|
| PostgreSQL | 16.6 | fournie par le client ou CloudNativePG | PostgreSQL | LEX-001 |
| Redis | 7.2.17 | deploy/, deploy/compose/docker-compose.yml et catalogue hôte du Manager | BSD-3-Clause | LEX-002 |
Obligations
- PostgreSQL : conserver l'avis de copyright et le texte de la licence PostgreSQL dans les notices de tout binaire redistribué.
- Redis 7.2.17 : conserver l'avis de copyright et le texte BSD-3-Clause. La branche 7.2 est la dernière sous BSD-3-Clause (la 7.4 est sous RSALv2 ou SSPL-1.0, Redis 8 ajoute AGPL-3.0-only) : aucune option AGPL n'est retenue (décision du 05/11/2026, constat P8-001).
- Méthode
packagedu catalogue Redis : elle installe le Redis de la distribution (paquetsredis,redis-server), en 7.x sous BSD-3-Clause sur RHEL 8/9 et Ubuntu 22.04/24.04 ; sa version suit le dépôt de l'hôte.
Décision du client
L'exception LEX-002 reste à l'état pending dans catalog/licence-exceptions.yaml : seul le client l'approuve.
Depuis le 05/11/2026, le profil de référence, la pile compose et le catalogue hôte du Manager utilisent Redis 7.2.17
(BSD-3-Clause). Passer à Redis 8 demanderait l'approbation de LEX-002 avec le choix explicite de sa licence.
Historique : jusqu'au 05/11/2026, deploy/ et la pile compose épinglaient Redis 7.0.15 (BSD-3-Clause), et le
catalogue hôte du Manager Redis Open Source 8.0.2 puis 8.0.6 (RSALv2 OR SSPL-1.0 OR AGPL-3.0-only, option
AGPL-3.0-only retenue sous LEX-002).
Briques de téléphonie (ADR-0173)
Les briques de téléphonie sont installées par le catalogue hôte du Manager et tournent comme processus séparés ;
aucun code de Navin ne les lie. Leur SBOM est release/sbom-servers/telephony-servers.spdx.json (versions du
catalogue, empreintes des images et paquets significatifs pour la licence trouvés par Syft 1.55.0 le 2026-11-03),
vérifié par services/control-plane/tests/test_architecture_decisions.py::test_telephony_legal_notice_matches_catalogs.
Chaque exception ci-dessous est pending : seul le client l'approuve.
| Brique | Version | Où | Licence SPDX | Exception |
|---|---|---|---|---|
| Asterisk | 20.6.0 | paquet Ubuntu 24.04, service asterisk | GPL-2.0-only WITH Asterisk-linking-protocols-exception | LEX-024 |
Sons d'Asterisk (asterisk-core-sounds-en) | 1.6.1 | paquet Ubuntu 24.04, installé avec Asterisk | CC-BY-SA-3.0 | LEX-027 |
Musique d'attente d'Asterisk (asterisk-moh-opsound-gsm) | 2.03 | paquet Ubuntu 24.04, installé avec Asterisk | CC-BY-SA-3.0 | LEX-027 |
| Kamailio | 5.7.4 | paquet Ubuntu 24.04 (Debian 13 : 6.0.1), service kamailio | GPL-2.0-or-later | LEX-025 |
| RTPengine (optionnel) | 11.5.1.18 | paquet Ubuntu 24.04 (Debian 13 : 12.5.1.31), service rtpengine | GPL-3.0-or-later | LEX-026 |
| Serveur LiveKit | 1.13.11 | binaire de publication, service livekit | Apache-2.0 | - |
| LiveKit SIP | 1.22.0 | image docker.io/livekit/sip, service livekit-sip | Apache-2.0 | - |
| LiveKit Ingress | 1.5.0 | image docker.io/livekit/ingress, service livekit-ingress | Apache-2.0 | LEX-033 (contenu de l'image) |
| LiveKit Egress | 1.15.0 | image docker.io/livekit/egress, service livekit-egress | Apache-2.0 | LEX-032, LEX-033 (contenu de l'image) |
| Google Chrome (dans l'image Egress) | 154.0.8037.57-1 | docker.io/livekit/egress:v1.15.0 seulement | LicenseRef-Google-Chrome-Terms | LEX-032 |
FDK AAC (libfdk-aac2) | 2.0.2-3~ubuntu4 | images Ingress et Egress | FDK-AAC | LEX-033 |
x264 (libx264-164) | 2:0.164.3108+git31e19f9-1 | images Ingress et Egress | GPL-2.0-or-later | LEX-033 |
x265 (libx265-199) | 3.5-2build1 | images Ingress et Egress | GPL-2.0-or-later | LEX-033 |
Les workers des agents vocaux (service livekit-agents) sont du code interne (LicenseRef-Navin-Enterprise, paquet
navin-voice-agent) sur le SDK LiveKit Agents sous Apache-2.0. Leurs dépendances figurent dans le SBOM de composant
release/sbom/voice-agent.spdx.json et dans docs/implementation/LICENCES.md, avec trois exceptions : LEX-029
(livekit-local-inference, modèles sous la LiveKit Model License), LEX-030 (FFmpeg embarqué dans la roue av,
LGPL-3.0-or-later, avec x264 et x265 sous GPL-2.0-or-later) et LEX-031 (pillow, MIT-CMU).
Obligations de la téléphonie
- Asterisk : fournir sur demande la source correspondant au binaire livré (paquet source Ubuntu) et conserver les notices. L'exception du LICENSE d'Asterisk permet la liaison avec OpenSSL et indique que les applications AMI, AGI et ARI n'ont pas à être sous GPL ; le Control Plane ne parle qu'AMI et ARI par le réseau. Le nom et les logos d'Asterisk sont des marques de Sangoma (Digium).
- Sons et musique d'attente d'Asterisk : créditer les auteurs (fichiers CREDITS des paquets), conserver la licence CC-BY-SA-3.0 avec les fichiers et partager tout message modifié sous la même licence. Les messages déposés par un tenant les remplacent.
- Client PostgreSQL et SQLite des nœuds Asterisk (LEX-028, PostgreSQL AND blessing) : conserver l'avis de copyright et le texte de la licence PostgreSQL ; aucun copyleft.
- Kamailio et RTPengine : fournir sur demande la source correspondant aux binaires livrés et conserver les notices ;
pour RTPengine, conserver l'exception de liaison OpenSSL de Sipwise (
debian/copyright), qui n'a pas d'identifiant SPDX. - Serveur LiveKit, SIP, Ingress et Egress : conserver la licence Apache-2.0 et les fichiers NOTICE. Les paquets du système des images gardent leurs propres licences.
- Google Chrome (LEX-032) : logiciel propriétaire. Revue juridique avant de copier l'image Egress dans un bundle hors ligne ; l'alternative est de tirer l'image sur le site. Les enregistrements audio des appels (egress de piste et de participant) ne lancent pas Chrome.
- FDK AAC, x264 et x265 (LEX-033) : source des bibliothèques GPL sur demande, licence FDK AAC conservée avec les images. Les licences de brevets AAC, H.264 et HEVC restent à la charge de l'exploitant des enregistrements.
- Workers des agents vocaux : LEX-029 limite les modèles LiveKit à un usage avec LiveKit Agents et interdit d'entraîner d'autres modèles avec eux ; LEX-030 impose une revue juridique des bibliothèques x264 et x265 sous GPL-2.0-or-later chargées dans le processus des workers avant toute distribution (alternative : une roue PyAV construite sur un FFmpeg LGPL seulement).