La licence BSL 1.1 (Business Source License) de Vault autorise la grande majorité des usages, y compris le déploiement en production pour votre entreprise. Elle restreint principalement la création d’offres commerciales concurrentes.
Cette page clarifie ce que vous pouvez faire selon votre contexte professionnel.
Ce que vous allez apprendre
Section intitulée « Ce que vous allez apprendre »- La différence entre “source-available” et “open source”
- Ce que la licence BSL autorise explicitement
- Les restrictions et cas nécessitant un accord HashiCorp
- Votre situation selon votre profil (entreprise, consultant, éditeur)
Comprendre la BSL 1.1
Section intitulée « Comprendre la BSL 1.1 »Source-available vs Open Source
Section intitulée « Source-available vs Open Source »La licence BSL 1.1 n’est pas reconnue comme open source par l’OSI (Open Source Initiative). HashiCorp la qualifie de “source-available”.
| Caractéristique | Open Source (MPL 2.0) | Source-available (BSL 1.1) |
|---|---|---|
| Code source accessible | ✅ | ✅ |
| Modification permise | ✅ | ✅ |
| Usage interne | ✅ | ✅ |
| Redistribution | ✅ | ✅ (avec conditions) |
| Usage commercial | ✅ Sans restriction | ⚠️ Restrictions “competing use” |
| Reconnaissance OSI | ✅ | ❌ |
Le mécanisme de la BSL
Section intitulée « Le mécanisme de la BSL »La BSL 1.1 fonctionne en deux temps :
- Période BSL (4 ans) : restrictions sur les usages commerciaux concurrents
- Conversion automatique : après 4 ans, le code devient MPL 2.0
Concrètement, le code de Vault 1.15 (août 2023) deviendra automatiquement MPL 2.0 en août 2027.
Ce que la licence autorise
Section intitulée « Ce que la licence autorise »Usages expressément autorisés
Section intitulée « Usages expressément autorisés »| Usage | Autorisé | Commentaire |
|---|---|---|
| Déployer Vault en production | ✅ | Pour vos propres besoins internes |
| Utiliser toutes les fonctionnalités CE | ✅ | Aucune limitation fonctionnelle |
| Modifier le code source | ✅ | Pour vos besoins internes |
| Intégrer dans vos applications | ✅ | Vault comme composant de votre infra |
| Former vos équipes | ✅ | Formation interne |
| Distribuer des modifications | ✅ | Sous conditions (voir ci-dessous) |
Usages commerciaux autorisés
Section intitulée « Usages commerciaux autorisés »| Activité | Autorisé |
|---|---|
| Utiliser Vault pour votre business (e-commerce, SaaS, etc.) | ✅ |
| Stocker les secrets de vos clients (dans votre application) | ✅ |
| Conseiller et déployer Vault chez vos clients (consulting) | ✅ |
| Former des tiers à Vault (formation commerciale) | ✅ |
| Créer des plugins pour Vault | ✅ |
Ce que la licence restreint
Section intitulée « Ce que la licence restreint »La restriction “Additional Use Grant”
Section intitulée « La restriction “Additional Use Grant” »La BSL 1.1 de HashiCorp contient une restriction spécifique :
“You may not provide the products to third parties as a hosted or managed service, where the service provides users with access to any substantial set of the features or functionality of the products.”
Traduction concrète
Section intitulée « Traduction concrète »| Activité | Autorisé ? | Raison |
|---|---|---|
| Offrir “Vault-as-a-Service” à des tiers | ❌ | Concurrence directe avec HCP Vault |
| Créer un “Secrets Manager” basé sur Vault et le vendre | ❌ | Produit concurrent |
| Intégrer Vault dans votre SaaS (backend uniquement) | ✅ | Vault est un composant, pas le produit |
| Revendre du support HashiCorp | ⚠️ | Accord partenaire nécessaire |
Cas limites nécessitant clarification
Section intitulée « Cas limites nécessitant clarification »Si votre modèle inclut l’un de ces éléments, contactez HashiCorp :
- Offre multi-tenant où chaque client a son “Vault”
- Produit de secrets management basé sur Vault
- Service managé de HashiCorp Vault
- Revente de licences ou support
Votre situation selon votre profil
Section intitulée « Votre situation selon votre profil »Entreprise utilisant Vault en interne
Section intitulée « Entreprise utilisant Vault en interne »Verdict : ✅ Aucune restriction
Que vous soyez une startup, une PME ou un grand groupe, utiliser Vault pour gérer vos propres secrets est le cas d’usage standard. La licence n’impose aucune contrainte.
Exemples d’usages autorisés :
- Stocker les credentials de vos bases de données
- Gérer les tokens API de vos applications
- PKI interne
- Chiffrement Transit pour vos données
- Secrets dynamiques pour vos environnements
Consultant / Intégrateur
Section intitulée « Consultant / Intégrateur »Verdict : ✅ Autorisé
Le consulting autour de Vault est explicitement permis :
- Auditer une installation Vault
- Déployer Vault chez un client
- Former les équipes d’un client
- Créer des playbooks Ansible pour Vault
- Développer des plugins personnalisés
Ce qui serait interdit :
- Offrir un service managé Vault à plusieurs clients
Éditeur de logiciel / SaaS
Section intitulée « Éditeur de logiciel / SaaS »Verdict : ✅ Généralement autorisé, avec nuances
Si Vault est un composant de votre architecture :
- ✅ Backend de secrets pour votre application SaaS
- ✅ Chiffrement Transit dans votre pipeline
- ✅ PKI pour vos certificats internes
Si Vault devient le produit que vous vendez :
- ❌ “Vault-as-a-Service” pour vos clients
- ❌ “Enterprise Secrets Manager” basé sur Vault
- ⚠️ Contactez HashiCorp pour un accord commercial
MSP / Hébergeur
Section intitulée « MSP / Hébergeur »Verdict : ⚠️ Dépend du modèle
| Modèle | Autorisé ? |
|---|---|
| Vault pour votre propre infra d’hébergement | ✅ |
| Cluster Vault par client (dédié) | ⚠️ Zone grise |
| ”Vault managé” multi-tenant | ❌ |
Si vous êtes MSP et souhaitez proposer Vault à vos clients, clarifiez avec HashiCorp ou considérez OpenBao.
Comparaison avec les alternatives
Section intitulée « Comparaison avec les alternatives »| Licence | Vault BSL | OpenBao MPL 2.0 | Infisical MIT |
|---|---|---|---|
| Usage interne | ✅ | ✅ | ✅ |
| Consulting | ✅ | ✅ | ✅ |
| SaaS (composant) | ✅ | ✅ | ✅ |
| Service managé | ❌ | ✅ | ✅ |
| Modification/fork | ✅ | ✅ | ✅ |
| Reconnaissance OSI | ❌ | ✅ | ✅ |
Questions fréquentes
Section intitulée « Questions fréquentes »”Est-ce que je peux utiliser Vault si j’ai des clients ?”
Section intitulée « ”Est-ce que je peux utiliser Vault si j’ai des clients ?” »Oui. Avoir des clients ne change rien. Ce qui compte, c’est si vous vendez Vault lui-même comme service.
”Mon entreprise a une politique open source stricte”
Section intitulée « ”Mon entreprise a une politique open source stricte” »La BSL n’est pas open source au sens OSI. Si votre politique requiert uniquement des licences OSI, vous devez utiliser OpenBao (MPL 2.0) ou une autre solution.
”Je veux modifier Vault pour mes besoins”
Section intitulée « ”Je veux modifier Vault pour mes besoins” »Autorisé. Vous pouvez modifier le code, compiler votre version, l’utiliser en production. Si vous redistribuez vos modifications, vous devez les publier sous BSL (ou attendre la conversion MPL 2.0).
”Je veux créer un plugin Vault et le vendre”
Section intitulée « ”Je veux créer un plugin Vault et le vendre” »Autorisé. Les plugins sont des extensions, pas des dérivés du code Vault. Vous pouvez les licencier comme vous le souhaitez.
”Je suis inquiet pour l’avenir de la licence”
Section intitulée « ”Je suis inquiet pour l’avenir de la licence” »La clause de conversion garantit que le code devient MPL 2.0 après 4 ans. De plus, le fork OpenBao existe comme alternative pérenne.
Que faire si vous avez un doute ?
Section intitulée « Que faire si vous avez un doute ? »Étapes recommandées
Section intitulée « Étapes recommandées »- Décrivez votre usage clairement (qui accède à Vault, comment)
- Consultez la licence complète : HashiCorp BSL FAQ
- Contactez HashiCorp si nécessaire (sales@hashicorp.com)
- Considérez OpenBao si la licence BSL pose problème
Quand contacter HashiCorp
Section intitulée « Quand contacter HashiCorp »- Votre modèle implique d’exposer les API Vault à des tiers
- Vous envisagez un service managé
- Vous voulez revendre du support
- Votre service juridique demande une clarification écrite
Implications pour votre stratégie
Section intitulée « Implications pour votre stratégie »Court terme (1-2 ans)
Section intitulée « Court terme (1-2 ans) »- La licence BSL n’est pas un frein pour la majorité des usages
- Continuez à utiliser Vault CE si votre usage est standard
- Documentez votre analyse de licence (pour les audits)
Moyen terme (2-4 ans)
Section intitulée « Moyen terme (2-4 ans) »- OpenBao mature et peut devenir une alternative viable
- Vault 1.15 devient MPL 2.0 en 2027
- Surveillez l’évolution de HashiCorp/IBM
Long terme (5+ ans)
Section intitulée « Long terme (5+ ans) »- L’écosystème se stabilisera (Vault BSL + OpenBao MPL)
- Les versions converties seront 100% open source
- Les outils alternatifs (Infisical, etc.) gagnent en maturité
À retenir
Section intitulée « À retenir »- Usage interne = OK : aucune restriction pour votre entreprise
- Consulting = OK : déployer chez vos clients est autorisé
- SaaS (backend) = OK : Vault comme composant de votre stack
- Service managé = Non : offrir Vault-as-a-Service est interdit
- Open source OSI = Non : la BSL n’est pas reconnue par l’OSI
- Conversion automatique : tout code devient MPL 2.0 après 4 ans