O GitHub anunciou, em 16 de outubro de 2026, a disponibilidade geral do recurso de conformidade de licenças de código aberto. A função permite aplicar uma política central às dependências de repositórios no GitHub Enterprise Cloud com GitHub Code Security habilitado, incluindo ambientes com residência de dados.
Para uma equipe de desenvolvimento, o efeito prático é trazer a discussão sobre licenças para o momento em que uma dependência entra ou muda em um pull request. A checagem técnica ajuda a aplicar uma política definida pela organização; não decide, sozinha, se um uso é juridicamente adequado.
Em resumo: A funcionalidade verifica dependências em pull requests e pode impedir o merge quando elas violam a política configurada. Antes de ativar o bloqueio, confirme os pré-requisitos, defina quem analisa exceções e teste o comportamento em repositórios representativos.
Quem pode usar a nova disponibilidade geral
O anúncio de disponibilidade geral do GitHub informa que o recurso está disponível para clientes Enterprise Cloud com Code Security ativado nos repositórios. A documentação de conformidade de licenças detalha o escopo da funcionalidade. Não é uma opção que se deva presumir habilitada em qualquer conta gratuita ou repositório.
Antes de planejar a adoção, faça um inventário simples: quais repositórios estão no escopo, quem administra as regras e quais equipes já mantêm uma política de dependências. Isso evita começar pelo bloqueio de merges sem haver uma decisão clara sobre o que deve ser aceito.
O que acontece quando uma dependência viola a política
As verificações comparam as licenças detectadas em dependências adicionadas ou alteradas com a política da empresa. Quando existe uma regra ativa exigindo conformidade, uma violação pode manter o pull request bloqueado até que seja resolvida.
O tratamento pode envolver trocar ou remover a dependência, ajustar a política quando houver justificativa ou aprovar uma exceção no escopo adequado. A exceção precisa de responsável e critério: aprovar para um pacote de um repositório é uma decisão diferente de liberar uma licença para toda a organização.
Pense em um exemplo: uma biblioteca resolve um problema de desenvolvimento, mas sua licença não está entre as permitidas. O caminho não é mudar a configuração apenas para fazer a verificação ficar verde. Primeiro, a equipe precisa entender o uso e encaminhar a decisão a quem responde pela política.
Como introduzir o controle sem surpreender as equipes
O guia de configuração das políticas de licença recomenda uma implantação que permite avaliar o comportamento antes de exigir o bloqueio. Ele também descreve o papel de responsável pelas licenças e os controles por repositório.
- Confirme o Enterprise Cloud, o Code Security e o grafo de dependências nos repositórios escolhidos.
- Defina com os responsáveis quais licenças e expressões serão aceitas.
- Determine quem revisa pedidos de exceção.
- Use uma etapa de avaliação para observar o resultado das regras.
- Teste pull requests com mudanças de dependências antes de ativar a exigência de merge.
Durante o teste, registre tanto bloqueios esperados quanto resultados que precisam de investigação. Um pacote sem informação suficiente merece análise; ausência de alerta não deve ser tratada como prova absoluta de que todas as obrigações foram cumpridas.
O que muda para quem já usa dependency review
A configuração da ação de revisão de dependências continua relevante para quem já verifica alterações em pull requests. A novidade anunciada amplia a gestão centralizada e a aplicação por regras. Antes de mudar um fluxo existente, compare o controle atual com o escopo da nova política.
Evite manter duas regras com objetivos incompatíveis e responsáveis diferentes sem documentar essa divisão. Se uma ação aceita uma dependência e a política central a bloqueia, a equipe precisa saber qual decisão está sendo aplicada e onde solicitar revisão.
Licença e vulnerabilidade são problemas diferentes
Uma dependência pode não apresentar alerta de vulnerabilidade e ainda contrariar a política de licenças. Também pode ter uma licença aceita e conter uma falha de segurança. Esses controles respondem a perguntas diferentes e precisam conviver no processo de revisão.
O agentic autofix do Copilot para alertas de código atua em outra parte desse trabalho. Para adotar a conformidade de licenças, comece por um conjunto controlado de repositórios, confira os resultados e formalize o caminho de decisão antes de ampliar o bloqueio.
Imagem de abertura ilustrativa: Meet Patel / Pexels. Fotos utilizadas sob a licença Pexels, com enquadramento em 16:9.
