使い方
- package-lock.json
lock・SBOM・CSV を貼る
- ライセンス別の件数分類は目安
集計と要確認
- THIRD-PARTY-NOTICES全文は含めない
NOTICE の下書き
package-lock.json（lockfileVersion 2・3）、SBOM（CycloneDX・SPDX の JSON か SPDX の tag-value）、または「名前,版,ライセンス」の CSV を貼り付けます。ファイルをドロップしても、「ファイルを選択」でも可能です。「サンプルで試す」でも動作を確認できます。
「集計」で、ライセンスごとの件数と目安の分類（寛容・弱いコピーレフト・強いコピーレフト・不明）を見ます。
「要確認」で、ライセンスが無いもの、UNLICENSED・SEE LICENSE IN・NOASSERTION、GPL・AGPL 系、一覧にない識別子を確かめます。
「NOTICE 下書き」でテキストか Markdown を選び、コピーまたはダウンロードします。ライセンスの全文は含まれないので、各パッケージの LICENSE を一緒に同梱してください。
できること
SPDX 式を読む
MIT OR Apache-2.0 のような OR、AND、WITH（例外）、括弧を読みます。OR は選べる中で緩い方、AND は厳しい方を目安の分類とします。
入力の形式を見分ける
package-lock.json（packages の license 欄。文字列・{type}・配列のどれも）、CycloneDX・SPDX の SBOM、「名前,版,ライセンス」の CSV を、貼られた中身から判別します。
要確認の理由を付ける
ライセンスの無い・UNLICENSED・SEE LICENSE IN・NOASSERTION・読めない式・GPL・AGPL 系・一覧にない識別子の理由を、行ごとに添えます。
全文を入れない NOTICE の下書き
パッケージごとに「名前 版」をライセンスの下に並べます。ライセンスの全文は入れず、同梱を促す注記を付けます。
こんなときに
- 配布する製品に、使っているオープンソースのライセンス一覧を付けたい
- package-lock.json のどのパッケージが GPL・AGPL 系か、目で探さずに確かめたい
- 社内の監査や取引先への説明のために、ライセンスごとの件数を出したい
- SBOM を受け取り、ライセンスの表記が NOASSERTION や空になっていないかを見たい
対応状況
| 機能 | 対応 | 補足 |
|---|---|---|
| package-lock.json（lockfileVersion 2・3）からの一覧 | 対応 | — |
| CycloneDX・SPDX（JSON・tag-value）の SBOM からの一覧 | 対応 | — |
| 「名前,版,ライセンス」の CSV からの一覧 | 対応 | — |
| SPDX 式（AND・OR・WITH・括弧）の解析と目安の分類 | 一部対応 | 分類はよく使う約 40 件の識別子だけです。ほかは「不明」になります。 |
| レジストリからのライセンス取得 | 非対応 | 通信しません。貼られた内容に書かれたライセンスだけを使います。 |
| LICENSE ファイル本文の判定 | 非対応 | ライセンス文の内容は読みません。 |
| ライセンスの全文を含む NOTICE | 非対応 | 全文は含めません。各パッケージの LICENSE を同梱してください。 |
| 法的な適合の判定 | 非対応 | 分類は目安で、法的助言ではありません。 |
制限・注意事項
- 入力は 5 MB まで、1 件のリストは 20,000 件まで読みます。超えた場合は読まずに通知します。
- 分類は、よく使う約 40 件の SPDX 識別子に基づく目安です。版の違いや例外の扱いは判定しません。
- lockfileVersion 1 の package-lock.json は非対応です（packages の欄がないため）。
- NOTICE の下書きは、作成者の著作権表示や許諾の文言を含めません。各パッケージの LICENSE を確認してください。
プライバシーと安全性
貼り付けた内容は端末の中だけで読みます。サーバーへ送信・保存されることはなく、ブラウザにも保存しません。使用状況の記録にも内容やファイル名は含めません。
よくある質問
NOTICE ファイルには何を書けばよいですか？
GPL や AGPL の系統が入っていたら、使えませんか？
MIT OR GPL-2.0-only のような式は、どう分類しますか？
SBOM のライセンスが NOASSERTION のときは？
package-lock.json を貼ると、通信が起きますか？
関連ツール
lockfile 比較・依存関係ツリー
2 つの lockfile を比べて、どのパッケージが追加・削除・更新されたかを表示します。あるパッケージがなぜ入っているか（入ってくる経路）と、同じパッケージの複数バージョンも分かります。ファイルはブラウザの外へ出ません。
CSV Studio（CSV ビューア・編集・結合・分割）
Excel では重い・文字化けする CSV を、ブラウザで開いてすぐに表示・検索・編集できます。結合や分割、Shift_JIS・UTF-8（BOM 付き）・Excel・JSON での保存まで 1 画面で完結します。
Markdown エディター・プレビュー（Markdown Studio）
左に書くと右にすぐ反映される Markdown エディターです。表の縦線をそろえる整形、目次の自動作成、HTML 出力に対応し、スクリプトは常に無害化、外部画像はオンにしたときだけ読み込みます。
SBOM ビューア・比較（SBOM Studio）
CycloneDX や SPDX の SBOM（JSON・tag-value）を貼ると、部品の名前・版・purl・ライセンス・supplier・hash を表にし、依存関係を木で表示します。purl やライセンスの無い部品、同じ部品の別の版、NOASSERTION を指摘し、旧と新の SBOM の追加・削除・版・ライセンスの変化も比べられます。脆弱性データベースは引かず、SBOM に書かれた脆弱性の一覧だけを出します。
Docker Compose Studio
docker run のコマンドを compose.yaml に、compose.yaml を docker run に変換します。compose.yaml は構文・Compose Specification・よくある誤りを調べ、セキュリティ上の確認点も一覧にします。コンテナの起動やイメージの取得はせず、入力は端末の外へ送りません。
Dockerfile Studio
Dockerfile を貼り付けると、構文・ステージ・よくある誤りを調べ、秘密らしい値や curl | sh などの確認したい点を一覧にします。整形と、Node.js・Python・Go・静的サイト・Java の雛形の生成もできます。ビルドはせず、入力は端末の外へ送りません。
最終更新: