Consideraciones sobre licencias y seguridad de Node.js

El entorno de ejecución de Node.js gana popularidad entre los equipos que necesitan crear aplicaciones web dinámicas del lado del servidor. Actualmente, OpenJS Foundation se encarga de su mantenimiento. Node.js cuenta con casi 2500 colaboradores y es el proyecto de código abierto de más rápido crecimiento, con más de 1000 millones de descargas hasta la fecha.

Desde su lanzamiento en 2009, muchas organizaciones importantes usan Node.js para crear aplicaciones empresariales y mejorar el rendimiento de sus aplicaciones. Una de ellas es PayPal, que redujo los tiempos de respuesta de su página cerca de un 35 % al implementar Node.js. Entre otros usuarios de Node.js se encuentran IBM, NASA, Uber, Netflix e incluso Microsoft.

Aunque se está convirtiendo en el lenguaje preferido para el desarrollo de servidores web, los usuarios deben tener en cuenta las consideraciones de seguridad y licencias de Node.js.

¿Qué licencia usa Node.js?

Node.js usa una licencia MIT permisiva para la biblioteca principal. La licencia MIT se aplica a todas las partes del módulo de Node.js cuyo mantenimiento no está a cargo de terceros.

Entre las licencias adicionales aplicables a las bibliotecas de terceros restantes se encuentran la licencia BSD Zero Clause y la licencia ISC. El archivo de licencia completo está disponible aquí.

Estas licencias permiten que cualquier persona use, modifique y redistribuya el software en cualquier momento; solo exigen atribuir la autoría y eximen de responsabilidad a los colaboradores. A diferencia de la GNU GPL, la licencia MIT no exige que los desarrolladores publiquen el código fuente propio cuando redistribuyen su software.

¿Cuáles son los riesgos de seguridad y licencias de Node.js?

Node.js usa un administrador de paquetes (npm) que cuenta con más de 1 000 000 de paquetes disponibles. La comunidad de desarrolladores de Node.js es una de las más productivas y, para 2019, la plataforma npm había crecido un 250 %. Uno de los desafíos para los desarrolladores en cuanto a la seguridad de Node.js es asegurarse de que todos los paquetes y sus dependencias vinculadas que se usan en producción reciban actualizaciones y parches con regularidad.

Los desarrolladores deben auditar con frecuencia todas las dependencias de los paquetes para detectar vulnerabilidades recién descubiertas. Al crear nuevas funciones, deben asegurarse de usar paquetes seguros y corregir las vulnerabilidades conocidas antes de publicar el código.

¿Qué parte de la licencia de Node.js es de código abierto?

A las empresas les encanta el modelo de licencia de Node.js porque les permite crear una bifurcación de la base de código, desarrollar sus propios fragmentos del lado del servidor y actualizar los paquetes vinculados solo cuando sea necesario. Las licencias permisivas dan a los equipos la opción de convertir su base de código en software propietario en el futuro, a diferencia del principio de copyleft de la GNU GPL.

En cuanto a las licencias, los desarrolladores deben saber qué licencias de software usan sus paquetes, porque en npm hay muchos paquetes con licencia GPL. En algunos casos, los desarrolladores ofrecen el mismo paquete con una licencia comercial, lo que evitaría activar la cláusula de reciprocidad de GPLv3.

¿Cuáles son las ventajas del modelo de licencia de Node.js?

El debate entre las licencias permisivas y las de copyleft continuará, pero Node.js parece demostrar que los intereses comerciales no tienen por qué obstaculizar la colaboración. Para los equipos que trabajan en entornos altamente clasificados, como NASA, Node.js y el ecosistema npm han demostrado ser recursos valiosos. Al permitir que cada equipo decida si quiere publicar todo su código fuente, Node.js ofrece la máxima libertad a sus usuarios.

Entre las ventajas de desarrollo de Node.js también se incluyen:

• Ofrece una solución de programación JavaScript del lado del servidor

• Mantiene una alta escalabilidad tanto horizontal como vertical

• Ofrece a los desarrolladores un solo lenguaje de programación para aplicaciones de front-end y back-end

• Mejora el rendimiento de las aplicaciones con operaciones de E/S no bloqueantes

• Cuenta con el respaldo de líderes de la industria, con representantes en Node.js Foundation

¿Puedes usar paquetes con licencia de Node.js en software comercial?

Una vez que un equipo descarga y modifica Node.js, tiene la libertad de registrar los derechos de autor de su versión del software en cualquier momento y aplicar una licencia más restrictiva a su propio trabajo.

La mayoría de los proyectos de Node.js siguen siendo de código abierto y las empresas los usan para frameworks, bibliotecas y herramientas. Los equipos que usan paquetes provenientes de npm deben asegurarse de que ninguno de los módulos incluya licencias recíprocas, a menos que esa sea la intención. Todos los paquetes y módulos vinculados deben estar sujetos a la licencia MIT o a alguna de las licencias de estilo BSD, incluida la licencia ISC.

¿Cómo se usa una licencia de Node.js?

Cualquier componente creado sobre la biblioteca de Node.js puede usar cualquiera de las licencias de software disponibles al distribuirse. Los colaboradores prefieren las licencias permisivas porque permiten que los usuarios posteriores decidan libremente qué hacer con su software en el futuro. Cuando el equipo empieza a depender de otros paquetes, debe asegurarse de que su trabajo cumpla con las demás restricciones que se apliquen a esos módulos.

En npm, hay un comando específico para agregar el texto de la licencia a todos los archivos del proyecto. Los desarrolladores pueden especificar el nombre de la licencia y el del autor. La lista completa de licencias compatibles está disponible aquí.

¿Cómo aborda Node.js los riesgos de seguridad en los paquetes?

Cuando un desarrollador o un equipo de seguridad descubre una vulnerabilidad nueva, Node.js publica una versión con una actualización de seguridad. En algunos casos, se necesita aplicar un parche manualmente. Los desarrolladores deben revisar con frecuencia las vulnerabilidades de sus paquetes mediante el comando audit, que ofrece una solución recomendada para la falla de seguridad.

Mantén las dependencias de tu base de código con Snyk

Todo proyecto que se ejecute en producción debe someterse a auditorías periódicas de vulnerabilidades y licencias en todas sus dependencias.

Snyk ayuda a los equipos a analizar todas las dependencias y a gestionar el cumplimiento de las licencias en todo el proyecto. Para los equipos de desarrollo de Node.js, tener una visión clara de todos los paquetes y garantizar el cumplimiento de las licencias en cada etapa del proyecto puede ayudar a evitar que surjan problemas importantes en la base de código.