Copyrightの年度更新スパムプルリクエスト
はじめに
オープンソースソフトウェアを公開するときに書くLICENSEファイルには Copyright (c) 2000 Naoya Hatta
のように年度と著作権者を示す行があることがあります。
新年早々この行の年度を更新するプルリクエストが大量に発生する、という事案があったので情報共有のため記録に残しておきます。
何が起こったか
1/1の21時ごろ、"Update LICENSE, fix copyright license year" というタイトルで、Copyright行の年度を2025に変更するプルリクエストが https://github.com/dalance/procs に対して作成されました。
README.mdに対するtypoの修正などは時々来るのでこれもそういった感じのものだろうと思ったのですが、PR作成者のプロフィールを見に行ったところ(どういう分野の方が自分のソフトウェアに興味を持っているのか気になるので、PRが来たときは時々見に行っています)、まったく同じ内容のPRを1600以上作成していることがわかりました。
PRが作成されたリポジトリを見ると、GitHubスターが多い(数k ~ 数十k)プロジェクトが無作為に選ばれているようでした。私のprocsも 5k 程度あってその条件に引っ掛かったようで、数百程度の他プロジェクトには来ていません。
各PRを見ていると、特に何のコメントもなくマージしている方も多そうでしたが、「年度は更新すべきではない」とリジェクトした方やいったんマージしたあとでスパムっぽいという指摘を受けてrevertした方もいました。「botなのでは」という指摘もあったのですが、PR作成者はPRについたコメントには返信しており完全なbotというわけでもなさそうでした。
最終的には1/2の10時ごろにPR作成者のアカウントが削除され、その時点でPRも消えました。(本人が消したのか、運営が対応したのかは不明です)
ただ、すでにマージされたコミットについては当然そのままなので、コミットメッセージを "Update LICENSE, fix copyright license year" で検索するとその痕跡を確認することができます。
https://github.com/search?q=Update+LICENSE%2C+fix+copyright+license+year&type=commits
年度を更新すべきなのか
Copyrightの年度を更新すべきなのかどうかはいろいろと議論があるようですが、少なくとも今回来たPRについては以下のように発行年を変更するものだったため、個人的にはこれは間違いだと思っています。
- Copyright 2016
+ Copyright 2025
Copyrightの次に書かれる年度はその著作物が最初に発行された年度なので、これを変更するということは2016-2024の期間の著作権を主張しないように見えてしまう気がします。
(実際には著作物作成時点で著作権は自動的に発生するので、年度表記を変更したからといってその期間の著作権がなくなったりはしないと思いますが、何らかの不利益が発生する可能性についてはよくわかりません)
もし更新するなら以下のように更新年を書くようにするとよさそうです。
Copyright 2016-2025
また、毎年これを更新する手間がかかるので
Copyright 2016-
としているOSSもあるようでした。
WebサイトにおけるCopyrightについては、そのサイトが更新されていることを示すために年度を毎年更新する、という方もいるようです。ただOSSの場合、活動状況はコミット履歴から一目瞭然なので、わざわざCopyrightを更新する必要性はかなり低いのではないかと思います。
Discussion