A crise do open source, com trocas de licença em Redis e MinIO e forks como Valkey, já muda como times técnicos escolhem suas ferramentas de infraestrutura.


<p class="wp-block-paragraph">A crise do open source, com trocas de licença em Redis e MinIO e forks como Valkey, já muda como times técnicos escolhem suas ferramentas de infraestrutura. Decisões que antes eram quase automáticas, como adotar um banco de dados amplamente usado pelo mercado, agora passam por uma checagem que não existia há poucos anos. A pergunta é simples: a licença vai continuar a mesma daqui a um ano?</p>



<p class="wp-block-paragraph">Esse foi o tema central do <a href="https://podcasters.spotify.com/pod/show/entrechaves/episodes/292-Como-a-crise-do-open-source-muda-suas-escolhas-tcnicas-e3re04d">episódio #292</a> do nosso podcast Entre Chaves.</p>



<div id="toc_container" role="navigation" aria-label="Table of Contents" data-nosnippet class="toc_white no_bullets toc_numbered toc_title_center"><p class="toc_title">Sumário</p><ul class="toc_list"><li><a href="#O-que-e-afinal-a-crise-do-open-source"><span class="toc_number toc_depth_1">1.</span> O que é, afinal, a crise do open source?</a></li><li><a href="#Por-que-empresas-estao-mudando-a-licenca-dos-seus-projetos"><span class="toc_number toc_depth_1">2.</span> Por que empresas estão mudando a licença dos seus projetos</a><ul><li><a href="#O-caso-Redis-de-SSPL-de-volta-ao-AGPL"><span class="toc_number toc_depth_2">2.1.</span> O caso Redis: de SSPL de volta ao AGPL</a></li><li><a href="#MinIO-e-o-enxugamento-da-edicao-gratuita"><span class="toc_number toc_depth_2">2.2.</span> MinIO e o enxugamento da edição gratuita</a></li></ul></li><li><a href="#Os-forks-que-nasceram-da-desconfianca"><span class="toc_number toc_depth_1">3.</span> Os forks que nasceram da desconfiança</a></li><li><a href="#Vulnerabilidades-sem-correcao-o-outro-lado-da-crise"><span class="toc_number toc_depth_1">4.</span> Vulnerabilidades sem correção: o outro lado da crise</a><ul><li><a href="#O-caso-AutoMapper"><span class="toc_number toc_depth_2">4.1.</span> O caso AutoMapper</a></li></ul></li><li><a href="#O-que-isso-significa-para-quem-contribui-com-codigo-aberto"><span class="toc_number toc_depth_1">5.</span> O que isso significa para quem contribui com código aberto</a></li><li><a href="#O-que-e-o-Cyber-Resilience-Act-e-por-que-ele-importa-agora"><span class="toc_number toc_depth_1">6.</span> O que é o Cyber Resilience Act e por que ele importa agora?</a><ul><li><a href="#Quem-precisa-se-preocupar"><span class="toc_number toc_depth_2">6.1.</span> Quem precisa se preocupar</a></li></ul></li><li><a href="#Como-isso-muda-a-escolha-tecnica-do-seu-time"><span class="toc_number toc_depth_1">7.</span> Como isso muda a escolha técnica do seu time</a><ul><li><a href="#Um-checklist-minimo-para-dependencias-criticas"><span class="toc_number toc_depth_2">7.1.</span> Um checklist mínimo para dependências críticas</a></li></ul></li><li><a href="#O-open-source-nao-acabou-mas-mudou-de-regra"><span class="toc_number toc_depth_1">8.</span> O open source não acabou, mas mudou de regra</a></li></ul></div>
<h2 class="wp-block-heading"><span id="O-que-e-afinal-a-crise-do-open-source">O que é, afinal, a crise do open source?</span></h2>



<p class="wp-block-paragraph">A chamada crise do open source é o movimento recente de projetos historicamente abertos que trocam sua licença por modelos mais restritivos. O objetivo costuma ser impedir que grandes provedores de nuvem ofereçam o software como serviço sem contribuir de volta ao projeto original. O resultado prático é instabilidade: bibliotecas e bancos de dados que pareciam escolhas permanentes passaram a carregar risco de licenciamento, igual a qualquer dependência de fornecedor.</p>



<p class="wp-block-paragraph">Esse risco não é teórico. Nos últimos dois anos, times técnicos viram pelo menos três movimentos de peso: a mudança de licença do Redis, o enxugamento da edição gratuita do MinIO e a criação de bibliotecas do ecossistema .NET sob modelo comercial. Cada caso obrigou equipes a revisar dependências que estavam havia anos no código sem questionamento.</p>



<h2 class="wp-block-heading"><span id="Por-que-empresas-estao-mudando-a-licenca-dos-seus-projetos">Por que empresas estão mudando a licença dos seus projetos</span></h2>



<p class="wp-block-paragraph">O motivo mais comum é econômico. Uma empresa cria e mantém o projeto, mas provedores de nuvem o usam em larga escala para vender serviço gerenciado. Grande parte do valor comercial em torno do código acaba indo para essas outras companhias, não para quem mantém o projeto. Trocar a licença é a forma mais direta de reequilibrar essa equação, mesmo que o custo seja o afastamento de parte da comunidade original.</p>



<h3 class="wp-block-heading"><span id="O-caso-Redis-de-SSPL-de-volta-ao-AGPL">O caso Redis: de SSPL de volta ao AGPL</span></h3>



<p class="wp-block-paragraph">Em março de 2024, o Redis trocou sua licença para a SSPL, um modelo restritivo que a Open Source Initiative não reconhece como open source de fato. A mudança teve como alvo declarado provedores como AWS e Google Cloud, que mantinham seus próprios forks do Redis sem contribuir de volta ao projeto original. A reação da comunidade levou ao nascimento do Valkey, fork mantido pela Linux Foundation para dar continuidade à filosofia aberta original do projeto. Segundo o <a href="https://www.techzine.eu/news/infrastructure/131056/redis-returns-to-open-source-after-damaging-community-relationship">Techzine</a>, uma pesquisa de 2024 já apontava que 83% das grandes empresas usuárias de Redis tinham adotado o Valkey ou estavam testando a migração. Em maio de 2025, o Redis recuou parcialmente e passou a oferecer também a licença AGPLv3, uma licença aprovada pela OSI, ao lado da SSPL.</p>



<h3 class="wp-block-heading"><span id="MinIO-e-o-enxugamento-da-edicao-gratuita">MinIO e o enxugamento da edição gratuita</span></h3>



<p class="wp-block-paragraph">Em 2025, o MinIO removeu funcionalidades da interface administrativa da sua edição gratuita, incluindo partes do painel usado para gerenciar o armazenamento em produção. A partir dali, passou a reservar essas funções à versão paga. Para times que haviam construído operações inteiras em cima da edição livre, a mudança trouxe uma escolha difícil: pagar, migrar para uma alternativa ou operar com menos visibilidade sobre o próprio ambiente.</p>



<h2 class="wp-block-heading"><span id="Os-forks-que-nasceram-da-desconfianca">Os forks que nasceram da desconfiança</span></h2>



<p class="wp-block-paragraph">O Valkey não é um caso isolado. Em 2023, a HashiCorp trocou a licença do Terraform de Mozilla Public License para Business Source License, limitando o uso comercial da ferramenta por concorrentes diretos. A resposta do mercado seguiu o mesmo padrão do Redis. A Linux Foundation criou o OpenTofu, fork aberto do Terraform mantido pela comunidade, para garantir que a ferramenta continuasse disponível sob licença permissiva.</p>



<p class="wp-block-paragraph">O padrão se repete porque resolve um problema real. Quando a governança de um projeto crítico de infraestrutura muda de mãos, times técnicos querem uma rota de saída que não dependa da boa vontade de uma única empresa. Um fork mantido por uma fundação neutra, com múltiplos mantenedores, reduz esse risco de concentração, mesmo que o esforço de migração não seja trivial.</p>



<h2 class="wp-block-heading"><span id="Vulnerabilidades-sem-correcao-o-outro-lado-da-crise">Vulnerabilidades sem correção: o outro lado da crise</span></h2>



<p class="wp-block-paragraph">A crise do open source não aparece só em mudanças de licença. Projetos mantidos por poucas pessoas, muitas vezes sem financiamento algum, acumulam vulnerabilidades conhecidas que demoram meses para receber correção. Isso acontece porque não há capacidade de manutenção proporcional à escala de uso. Esse descompasso entre quantas empresas dependem de um projeto e quantas pessoas efetivamente o mantêm é uma fragilidade estrutural do ecossistema, não um problema de um projeto específico.</p>



<h3 class="wp-block-heading"><span id="O-caso-AutoMapper">O caso AutoMapper</span></h3>



<p class="wp-block-paragraph">Esse cenário também mudou o modelo de negócio de bibliotecas menores. Em julho de 2025, o criador do AutoMapper e do MediatR, duas bibliotecas muito usadas no ecossistema .NET, anunciou uma mudança de licenciamento. As novas versões principais passam a adotar <a href="https://www.jimmybogard.com/automapper-and-mediatr-commercial-editions-launch-today/">licença dupla</a>, com uma opção comercial cobrada por faixa de número de desenvolvedores. Empresas e times com menos de 5 milhões de dólares em receita anual bruta continuam com acesso gratuito. Acima desse valor, a cobrança passa a valer para quem atualizar para as versões mais novas. Versões anteriores continuam disponíveis sob o licenciamento antigo, em repositórios de arquivo separados.</p>



<h2 class="wp-block-heading"><span id="O-que-isso-significa-para-quem-contribui-com-codigo-aberto">O que isso significa para quem contribui com código aberto</span></h2>



<p class="wp-block-paragraph">A crise também muda a relação de quem contribui com projetos abertos, não só de quem os consome. Mantenedores que antes trabalhavam de graça, sustentando ferramentas usadas por empresas bilionárias, passaram a questionar se esse arranjo faz sentido a longo prazo. Parte da resposta do mercado foi criar modelos de licenciamento dual. Esses modelos preservam uso gratuito para quem não monetiza o software, mas cobram de quem constrói produto comercial em cima dele.</p>



<p class="wp-block-paragraph">Para quem programa, isso significa prestar atenção não só à licença atual de uma dependência, mas também à saúde financeira de quem a mantém. Um projeto sustentado por uma única pessoa carrega um risco de mudança de regras tão real quanto o de um projeto controlado por uma empresa com interesse comercial direto.</p>



<h2 class="wp-block-heading"><span id="O-que-e-o-Cyber-Resilience-Act-e-por-que-ele-importa-agora">O que é o Cyber Resilience Act e por que ele importa agora?</span></h2>



<p class="wp-block-paragraph">O Cyber Resilience Act é um regulamento da União Europeia, adotado em outubro de 2024. Ele estabelece requisitos de segurança e correção de vulnerabilidades para produtos de software vendidos no mercado europeu. Parte das obrigações de reporte de vulnerabilidades ativamente exploradas já está em vigor desde setembro de 2026. As exigências principais entram em vigor por completo em dezembro de 2027, segundo reportagem recente da <a href="https://adtmag.com/articles/2026/07/31/eclipse-foundation-and-owasp-partner-to-help-open-source-projects-prepare-for-eu-cyber-rules.aspx">ADT Magazine</a>.</p>



<h3 class="wp-block-heading"><span id="Quem-precisa-se-preocupar">Quem precisa se preocupar</span></h3>



<p class="wp-block-paragraph">A lei distingue dois grupos. Mantenedores individuais de software livre ficam em grande parte fora do escopo quando não há exploração comercial do projeto. Já os chamados &#8220;open source stewards&#8221; entram no escopo da lei. Esse grupo reúne fundações e organizações que sustentam o desenvolvimento de produtos relevantes para fins comerciais, caso típico de Linux Foundation, Apache Foundation e Eclipse Foundation. Esses stewards passam a ter obrigações específicas, como manter uma política documentada de cibersegurança e reportar vulnerabilidades ativamente exploradas às autoridades competentes. Para empresas que distribuem software como produto comercial, a régua é ainda mais alta, com multas que podem chegar a 15 milhões de euros ou 2,5% do faturamento global.</p>



<h2 class="wp-block-heading"><span id="Como-isso-muda-a-escolha-tecnica-do-seu-time">Como isso muda a escolha técnica do seu time</span></h2>



<p class="wp-block-paragraph">A consequência prática para quem escolhe ferramentas hoje é que a avaliação técnica de uma dependência de infraestrutura não pode mais parar na funcionalidade e na performance. Hoje, times avaliam governança do projeto, histórico de mudanças de licença, saúde financeira da comunidade mantenedora e exposição a regulações como o Cyber Resilience Act. Esses fatores já pesam tanto quanto benchmark de throughput ou qualidade de documentação.</p>



<p class="wp-block-paragraph">Isso não significa abandonar o open source como estratégia. Significa tratar a escolha de uma dependência crítica com o mesmo rigor que a empresa aplicaria à escolha de um fornecedor comercial. Isso inclui um plano realista de migração, caso a licença mude no meio do caminho.</p>



<h3 class="wp-block-heading"><span id="Um-checklist-minimo-para-dependencias-criticas">Um checklist mínimo para dependências críticas</span></h3>



<p class="wp-block-paragraph">Na prática, isso costuma significar revisar periodicamente as dependências mais críticas do sistema. Vale perguntar quem mantém cada uma, sob qual modelo de licença e o que aconteceria se essa licença mudasse amanhã. Para ferramentas com fork mantido por fundação neutra, como Valkey e OpenTofu, o caminho de migração tende a ser mais previsível. Isso acontece porque existe mais de um grupo com interesse em manter o projeto vivo sob os mesmos termos. Para projetos sustentados por uma única empresa ou por um único desenvolvedor, vale a pena já ter, pelo menos no papel, uma alternativa mapeada antes de precisar dela. Isso inclui o esforço estimado de migração e o impacto em produção. Times que mantêm esse mapeamento atualizado chegam a uma eventual mudança de licença com opções já avaliadas. Em vez de decidir sob pressão, eles não precisam correr atrás de alternativas no meio de um incidente.</p>



<h2 class="wp-block-heading"><span id="O-open-source-nao-acabou-mas-mudou-de-regra">O open source não acabou, mas mudou de regra</span></h2>



<p class="wp-block-paragraph">Nenhum dos casos discutidos no episódio significa o fim do open source como modelo. Significa que o modelo amadureceu, e com ele vieram tensões econômicas que a gratuidade aparente do código escondia antes. Redis, MinIO, Terraform e bibliotecas menores do ecossistema .NET mostram que a sustentabilidade financeira de um projeto importa tanto quanto a qualidade técnica dele.</p>



<p class="wp-block-paragraph">Para quem desenvolve software, a lição prática é simples de enunciar e difícil de aplicar: tratar licenciamento como parte da arquitetura, não como detalhe jurídico que alguém revisa uma vez e esquece. Quem faz isso continuamente evita migrações de emergência. Quem não faz, aprende isso na prática, geralmente no pior momento possível.</p>



<p class="wp-block-paragraph"></p>



<p class="wp-block-paragraph">*<em>Este conteúdo foi elaborado com IA, tendo como base a transcrição do episódio do Entre Chaves, e passou por curadoria e revisão humana. Para ouvir a conversa completa, acesse o episódio.</em></p>


Crise do open source: o que muda nas suas escolhas técnicas

Desbloqueie o futuro do seu negócio

Mais conteúdos como esse

Travessa Dona Zilda, 125, sala 203, São Gonçalo – Pelotas, RS. CEP: 96075-166

14841 Dallas Parkway, 8th Floor Addison, TX 75254

R. Levindo Lopes, 357, 5º e 12º Andar – Savassi, Belo Horizonte MG, 30112-010