Dasturiy ta’minot va APIni litsenziyalash

1) Nima uchun bu iGaming uchun muhim?

Platforma o’z kodiga, uchinchi tomon kutubxonalariga, o’yin/to’lov provayderlarining SDK va ommaviy/shaxsiy APIlariga tayanadi. Litsenziyalardagi xatolar da’volar, integratsiya bloklari, IP sizib chiqishi va tartibga solish xavflariga (privacy/sanksiyalar/kriptografiya eksporti) olib keladi. Maqsad shaffof huquqlar konturini yaratishdir: nimani nashr etish, integratsiya qilish, sheriklarga topshirish va o’z APIlaringizni qanday himoya qilish mumkin.

2) PO litsenziyalash modellari (sharh)

Proprietary (yopiq litsenziya): vendorda eksklyuziv huquqlar; B2B uchun (operatorlar, studiyalar, PSP).

• Permissive: MIT, BSD, Apache-2. 0 (patent granti).
• Copyleft: GPL/LGPL/AGPL - «yuqtiruvchi» moslik; yopiq modullarda ehtiyot bo’ling.
• Dual/Multi-licensing: bepul OSS filiali + kengaytirilgan huquqlar/qo’llab-quvvatlanadigan tijorat litsenziyasi.
• SaaS litsenziyalash: xizmat sifatida kirish; kod berilmaydi, foydalanish huquqi.

Tanlash qoidalari: tanqidiy servislar (o’yin dvigateli, antifrod, hisob-kitoblar) - copyleft’dan qochish; UI-kutubxonalar - permissive; ichki tulzalar - izolyatsiya qilinganda GPL mumkin.

3) Huquq va cheklovlar: litsenziyalarda nimani ko’rish kerak

Huquqlar hajmi (scope): hudud, muddat, foydalanuvchilar/installyatsiyalar, muhit (prod/stage/dev).
Modifikatsiyalar va hosilalar: burish, o’zgartirish, tarqatish mumkinmi.
Sublisenziyalash/uzatish: affiliatlarga ruxsat beriladimi/white-label.
Patent granti va defensive termination (Apache-2. 0, MPL): patent tavakkalchiliklari va kross-litsenziyalar.
Audit va hisobot: vendorning litsenziya tekshiruvlarini o’tkazish huquqi.
Xavfsizlik/eksport: kriptografiyaga cheklovlar, mamlakatlar/sanksiyalar.
Indemnitii i mas’uliyat: kim qoplaydi da’vo AT/zarar.

4) Open Source: siyosat va nazorat

Oq roʻyxat: MIT/BSD/Apache-2. 0, MPL-2. 0.
Sariq: LGPL-3. 0 (dinamik linkda va shartlarga rioya qilinganda).
Qizil: AGPL/GPL-3. 0 yopiq xizmatlarda, agar izolyatsiya mavjud bo’lmasa (xizmat chegarasi, network copyleft).
SBOM (Software Bill of Materials): versiyalari/litsenziyalari bilan bog’liqlikning majburiy ro’yxati.
OSS kiritish tartibi: so’rov → jur/texnik muvofiqlikni baholash → reyestrda qayd etish → davriy audit.
OSS (upstream) ga hissa qoʻshish: CLA/DCO, IP oshkor etilishini tekshirish, Legal bilan kelishish.

5) SDK va provayderlarning litsenziyalari (o’yinlar, to’lovlar, KYC)

Odatiy talablar: qayta ishlab chiqishni taqiqlash, shartlardan tashqarida keshlash taqiqlanishi, logotiplar/brending nazorati, minimal versiyalar, audit-huquq.
Ma’lumotlar: chegaralar «operator ma’lumotlari» vs «provayder ma’lumotlari», kim metriklarga ega va Derived Data.
Eksport/sanksiya cheklovlari: geo-bloklar, RER/sanksiyalar ro’yxatlari - ToS/litsenziyada tekshirish majburiydir.
Qo’llab-quvvatlash/yangilash: patchlarga SLA, breaking-changes, migratsiya muddatlari.

6) API: foydalanishga ruxsat berishning yuridik shartlari (sheriklar/affiliatlar/B2B uchun)

• Kirish va autentifikatsiya: OAuth2/HMAC/mutual-TLS; kalitlarni uchinchi shaxslarga berishni taqiqlash.
• Rate limits va kvotalar: RPS/daqiqa/sutkada; «halol foydalanish»; burst siyosati.
• SLA va qo’llab-quvvatlash: foydalanish imkoniyati (masalan, 99. 9%), xizmat ko’rsatish oynalari, hodisalar/kommunikatsiyalar rejasi.
• Version/depreksiya: SemVer, EOL muddatlari (masalan, 9-12 oy ≥), xabarnomalar yuborish.

• Service-Generated Data (logi, metrika) - API egasida;
• Customer/Player Data - mijoz/operatorda;
• Derived Data - shartnoma bo’yicha (ruxsat etilgan/cheklangan, anonimlashtirish).
• Kesh va saqlash: nimani va qanday kesh qilish mumkin (TTL, shaxsiy/sezgir maydonlarni saqlashni taqiqlash).
• Privacy/AML/KYC: rollar (nazoratchi/protsessor), DPA/DSA, transchegaraviy uzatmalar, yuqori xavfli ssenariylar uchun DPIA.
• Xavfsizlik: tranzitda shifrlash/at-rest, sir-menejment, 27001 SOC2/ISO talablar (agar qo’llash mumkin bo’lsa).
• Taqiqlar: teskari muhandislik, skreyping, roziliksiz o’lchash/benchmarking, API javoblarining modifikatsiyasi.
• Audit va loglar: tekshirish huquqi, so’rovnoma jurnallariga qo’yiladigan talablar.
• Sanksiyalar va eksport: roʻyxatdagi foydalanuvchilar bilan mamlakatlarda foydalanishni taqiqlash, screening.
• Kafolatlarni istisno qilish va javobgarlik limiti: cap (masalan, 12 × o’rtacha. to’lov).
• Foydalanishni to’xtatish: xavfsizlik/qonun tahdidi yuzaga kelganda darhol; ma’lumotlarni chiqarish rejasi.

7) Versiyalash va muvofiqlik siyosati

SemVer: MAJOR (breaking), MINOR (features), PATCH (fix).
Sxemalar kontraktlari: JSON Schema/OpenAPI; mijozlar uchun contract-testlar.
Deprecation-protsedura: anons → moslik davri (6 oydan ≥) → EOL → olib tashlash; migratsiya g’oydi.
Feature flags: yumshoq yoyish uchun.

8) Eksport nazorati, sanksiyalar, kriptografiya

Kriptografiyani eksport qilish: lokal qoidalarni tekshirish; bildirishnomalar/ESS kodi/bitli uzunliklar.
Sanksiyalar: sanksiya ostidagi yurisdiksiya rezidentlariga/shaxslarga xizmat ko’rsatish/ularga ruxsat berish taqiqlanadi; davriy qayta skrining.
Qonun hujjatlarining ishdan chiqishiga chidamliligi: tartibga solish xavfi bo’lganda servis to’xtatib turish to’g "risidagi klauzulalar.

9) Xavf matritsasi (RAG)

10) Reliz/integratsiya oldidan chek-varaq

• SBOM yig’ilgan; litsenziyalar tekshirilgan (mos kelmaydigan).
• Vendor/SDK-litsenziyalar imzolangan; ma’lumotlar va brendga bo’lgan huquqlar.
• DPA/DSA rasmiylashtirilgan; nazoratchi/protsessor rollari aniqlandi.
• API Terms/EULA yangilandi; rate limits/SLA/deprekatsiya yozilgan.
• Jarayonlarda sanksiya/eksport skrining.
• Xavfsizlik: kalitlar, rotatsiya, shifrlash, jurnallash.
• Hodisalar rejasi va kirishni qaytarib olish (killswitch) tayyor.

11) Reyestrlar va artefaktlar (tavsiya etiladigan formatlar)

11. 1 SBOM/Litsenziyalar reyestri

yaml component: "payment-gateway-sdk"
version: "4. 2. 1"
license: "Apache-2. 0"
source: "maven"
usage: "runtime"
notes: "requires notice file"
dependencies:
- name: "okhttp"
version: "4. 12. 0"
license: "Apache-2. 0"
- name: "commons-io"
version: "2. 16. 1"
license: "Apache-2. 0"
owner: "Engineering"

11. 2. API-mijozlar reyestri

yaml client_id: "aff-778"
app_name: "AffTrack"
scopes: ["reports:read","players:read_limited"]
rate_limit_rps: 5 quota_daily: 50_000 dpa_signed: true sanctions_screened_at: "2025-11-05"
status: "active"
owner: "API Ops"

11. 3 Registry SDK/vendorlar

yaml vendor: "GameProviderX"
agreement: "SDK-License-2025-10"
audit_rights: true brand_rules: true data_rights:
provider_metrics: "vendor"
operator_metrics: "shared"
derived_data: "anonymized_allowed"
sla:
incidents: "P1:2h,P2:8h"
updates: "quarterly"

12) Shablonlar (parchalar)

12. 1 EULA (ichki parcha)

12. 2 API Terms (ichki parcha)

12. 3. Namunaviy kod/doklarni litsenziyalash

13) Maxfiylik va ma’lumotlar (API/SDK)

Minimallashtirish: ortiqcha maydonlarni (PII) bermang, «shaffof» identifikatorlardan foydalaning.
TTL kesh: qat’iy qayd etilgan; to’liq damplarni lokal ko’chirishni taqiqlash.
Ma’lumotlar subyektlarining huquqlari: so’rovlarni operator orqali yo’naltirish (access/erasure); bayonnoma tuzish.
Taxalluslashtirish/anonimlashtirish: tahlillar uchun/Derived Data - nashr etilgunga qadar.

14) Pleybuklar

P-LIC-01: Copyleft prod-servisda topildi

Audit SBOM → migratsiya/izolyatsiya varianti → yur-baholash → reliz rejasi → retrospektiv.

P-API-02: API kalitining tarqalishi

Kalitni chaqirib olish → mijozni xabardor qilish → forenzika → sirlarni almashtirish → siyosat yangilanishi.

P-SDK-03: Vendor moslikni buzadi

O’tish adapteri → API vaqtinchalik filiali → oynani kengaytirish bo’yicha muzokaralar → mijozlarga yuborish.

P-XPORT-04: Sanksiya bayrog’i

Avtoblok kirish → o’yinlarni tasdiqlash → yuridik baholash → regulyator uchun hujjatlar.

15) KPI/metrika

SBOM Coverage% va tasdiqlangan komponentlar ulushi.
Litsenziya hodisasini yopish vaqti (copyleft/nomuvofiqlik).
Deprecation Compliance% (dolzarb versiyadagi mijozlar).
Time-to-Revoke oqib chiqqan kalit va MTTR API-hodisalar bo’yicha.
DPA/DSA imzolangan va sank-skrining o’tkazilgan mijozlar ulushi.

16) Mini-FAQ

LGPL oʻrnatish mumkinmi? Ha, dinamik linkda va shartlarga rioya qilinganda, SBOMda qayd etamiz.
API tahliliga kim ega? Andoza - API (Service-Generated) egasi, mijoz - cheklangan litsenziya.
MLni API ma’lumotlarida o’rgatish mumkinmi? Faqat anonimlashtirilgan/agregatsiyalangan va agar ruxsat etilsa ToS/DPA.
EOLni qancha saqlash kerak? Migratsiya gaydasi bilan 9-12 oy tavsiya etiladi.

17) Xulosa

Dasturiy ta’minot va APIni litsenziyalash - bu «bir marta imzolangan» emas, balki doimiy tsikl: mos litsenziyalarni tanlash, SBOMni yuritish, aniq API Terms (ma’lumotlar/kvotalar/SLA/deprekatsiya), DPA/sanksiyalar va operatsion pleybuklar. Ro’yxatlar va shablonlarni standartlashtiring - va siz yuridik xavflarni kamaytirasiz, integratsiyani soddalashtirasiz va o’z IP va o’yinchilar ma’lumotlarini himoya qilasiz.