NOASSERTIONの意味

01SPDX仕様での定義

NOASSERTION は、ソフトウェアのライセンス情報を表す標準形式 SPDX の特別な値です。SPDX 2.3 仕様の「7.13 Concluded license」（作成者が結論づけたライセンス）には、次のように書かれています。

つまり次の3つのどれかです。

※「7.15 Declared license」（作者が宣言したライセンス）のNOASSERTIONは、このうち後の2つ（判定しなかった・あえて書かなかった）だけです。「判定できなかった」は含まれません。

「ライセンスが無い」ことは NOASSERTION ではなく NONE で表します。7.13では「利用できるライセンスが無いと結論した場合」、7.15では「パッケージにライセンス情報がまったく含まれていない場合」が NONE です。

02GitHubで「Other」と出る仕組み

GitHubのリポジトリ画面やAPIで NOASSERTION（画面上は「Other」）と出る場合、その判定に使われているのは Licensee というオープンソースのライブラリです。GitHubの公式ドキュメントにこうあります。

そこでLicenseeのソースコードを直接読みました（2026年9月14日のコミット時点）。

# lib/licensee.rb
CONFIDENCE_THRESHOLD = 98

# lib/licensee/license.rb
# `other` - The project had a license, but we were not able to detect it
# `no-license` - The project is not licensed (e.g., all rights reserved)
# NOTE: A lack of detected license will be a nil license

# lib/licensee/license/identity_methods.rb
return 'NOASSERTION' if key == 'other'
'NONE' if key == 'no-license'

NOASSERTION は「ライセンスファイルはあったが、既知のライセンスとして検出できなかった」という意味です。Licenseeの一致の閾値の既定値は98で、標準ライセンスの本文に少し文章を足しただけでも届かないことがあります。

※GitHub本番で使われている設定値そのものは、公開情報では確認できませんでした。ここで示すのはLicenseeのソースコード上の既定値です。

実際のAPIの応答はこうなります。

# gh api repos/csa-admin-org/csa-admin/license --jq .license
{"key":"other","name":"Other","node_id":"MDc6TGljZW5zZTA=","spdx_id":"NOASSERTION","url":null}

031,122件のうち179件がNOASSERTION

では、実際にどのくらいの頻度で出るのか。セルフホスト向けソフトウェアの定番リスト awesome-selfhosted-data（2026年9月17日のコミット）に載っている1,348件を対象にしました。このうち、ソースコードのURLがGitHubのリポジトリを指しているもの1,123件（組織ページを指す17件は除外）について、GitHub APIでライセンス判定を取得し、取得できた1,122件を集計しました。

04179件の中身を全部読んだ

179件すべてについて、GitHubが判定に使ったライセンスファイルの本文を取得し、1件ずつ読んで分類しました。

※⑥の各プロジェクトは、自らを「fair source」「open core」などと説明していることがあります。ここでの分類はOSI承認ライセンスかどうかだけを基準にしたもので、プロジェクトの姿勢を評価するものではありません。

05リストの記載と中身が違うもの

awesome-selfhosted-data は各ソフトのライセンスを人の手で記載しています。その記載（2026年9月17日のコミット）と、2026年9月18日時点の既定ブランチのライセンスファイルを比べると、食い違うものがありました。ただし理由は1つではありません。

ライセンスが変更されたもの

リストでは自由なライセンスと記載されていて、現在の既定ブランチはOSI承認ライセンスではないものです。古いブランチや古いバージョンは、旧ライセンスのまま残っているものが多くあります。

逆に、オープンソースライセンスのまま種類が変わったものもあります。HaschekSolutions/pictshare と pretalx/pretalx はリストではApache-2.0ですが、現在はAGPL-3.0です。

ライセンスは変わっておらず、範囲や記載の違いだったもの

リストの誤りだと言いたいのではありません。ライセンスは後から変更されますし、ブランチやコンポーネントごとに違うこともあります。人手で整備されたリストがそれを1行で表すのは難しいことです。リストや紹介記事、GitHubの表示を根拠にせず、自分が使うブランチ・バージョン・部分のライセンスファイルを読む必要があるということです。

06NOASSERTIONを見たら確認すること

179件を読んで、見分けるための手がかりはほぼ決まっていました。

なお、SPDX形式のSBOM（ソフトウェア部品表）でNOASSERTIONと出た場合も、意味は01の仕様どおりです。そのツールがなぜ判定しなかったかは、ツールごとに違います。

07調べる途中で間違えたこと