هیچ‌کس بابت متن‌باز پول نمی‌ده؛ ولی میشه مجبورش کرد
خلاصهٔ کامل‌تر
نویسنده این پست، که قبلاً تو تیم npm کار می‌کرده، از یه مدل زیست‌شناسی به اسم «باز و کبوتر» استفاده می‌کنه تا توضیح بده چرا لایسنس‌های متن‌باز کاملاً رایگان (مثل MIT) همیشه برنده می‌شن. به گفته‌ی نویسنده، هر پروژه‌ای که بخواد یه‌کم کمتر رایگان باشه (مثل لایسنس‌های source-available)، بالاخره با یه فورک رایگان از رقیب شکست می‌خوره؛ نمونه‌هاش React که مجبور شد به MIT برگرده، Elasticsearch و Redis که بعد از فورک شدن (به OpenSearch و Valkey) دوباره لایسنس بازشون رو برگردوندن، و Terraform که فورکش (OpenTofu) به بنیاد لینوکس رفت.
مشکل این‌جاست که این تعادل روی دوش نگهدارنده‌های بدون دستمزد می‌چرخه. طبق آماری که نویسنده میاره، ۶۰ درصد نگهدارنده‌های متن‌باز اصلاً پولی نمی‌گیرن و نزدیک ۶۰ درصدشون هم به ترک کردن پروژه فکر کردن. نویسنده حادثه‌ی بک‌دور کتابخونه‌ی xz رو نمونه‌ی روشن این فشار می‌دونه: یه نفر با صبر زیاد، طی دو سال، اعتماد تنها نگهدارنده‌ی بدون دستمزد این پروژه رو جلب کرد و بک‌دور رو قاچاقی وارد کد کرد، فقط چون کسی نبود که به جاش کمکش کنه.
نویسنده لیست می‌کنه که تا حالا چی امتحان شده: بخشش (GitHub Sponsors)، بنیادها (لینوکس فاندیشن، آپاچی)، کمک‌های داوطلبانه‌ی شرکت‌ها (مثل Open Source Pledge سنتری)، و حتی صندوق‌های دولتی مثل پروژه‌ی آلمانی Sovereign Tech Fund. به گفته‌ی نویسنده همه‌ی این‌ها داوطلبانه‌ن، یعنی شرکتی که پول نده دقیقاً همون نرم‌افزار رو مثل شرکتی که پول می‌ده می‌گیره؛ برای همین هیچ‌کدوم واقعاً مقیاس‌پذیر نبودن.
نکته‌ی کلیدی پست این‌جاست: شرکت‌ها همین الان بابت متن‌باز پول می‌دن، فقط به نگهدارنده‌ها نمی‌رسه. شرکت‌هایی مثل JFrog (با درآمد ۵۳۲ میلیون دلاری در ۲۰۲۵)، Snyk، Docker (۲۰۷ میلیون دلار) و Sonatype، همه دارن یه چیز مشابه می‌فروشن: یه نسخه‌ی مطمئن و اسکن‌شده از همون کدهای رایگان. نویسنده می‌گه این شرکت‌ها مشکل واقعی رو حل می‌کنن، فقط تو لایه‌ی اشتباه؛ چون به‌جای پرداخت به کسی که کد رو امن‌تر می‌کنه (خود نگهدارنده)، به کسی پول می‌دن که فقط بگه کد امنه یا نه.
پیشنهاد نویسنده اینه که خود ریجیستری‌ها -مثل npm، PyPI، Docker Hub و Maven Central- از شرکت‌های بزرگ (نه از افراد یا پروژه‌های کوچک) پول بگیرن، دقیقاً مثل الان که Docker Desktop برای شرکت‌های بزرگ پولیه. بعد یه بخش ثابت از این پول رو به‌صورت خودکار، بر اساس اینکه هر پکیج تو دپندنسی‌تری چند مشتری پول‌دار هست، بین نگهدارنده‌های پکیج‌ها تقسیم کنن. نویسنده می‌گه این کار فنی سختی نداره؛ فقط باید بین بخش صورت‌حساب (که الان وجود داره) و بخش پرداخت (که پروژه‌هایی مثل thanks.dev قبلاً ساختنش) رو وصل کرد.
نویسنده می‌گه این کار الان فوری‌تر شده چون هوش مصنوعی هم هزینه‌ی نوشتن کد رو پایین آورده (یعنی پکیج‌های بیشتر و دنباله‌ی طولانی‌تر) و هم خودش مصرف‌کننده‌ی بزرگ متن‌باز شده. مثلاً یه گروه ایجنت هوش مصنوعی وابسته به OpenAI تو یه بازه‌ی دو روزه بیش از ۲۰۰۰ پکیج رو RubyGems منتشر کردن و یه باگ تو API این ریجیستری رو هم پیدا کردن که باعث شد نگهدارنده‌های داوطلبش مجبور شن چهار روز ثبت‌نام کاربر جدید رو ببندن. نگهدارنده‌ی curl هم به‌خاطر سرازیر شدن گزارش‌های بی‌کیفیت ساخته‌ی هوش مصنوعی، برنامه‌ی جایزه‌ی امنیتیش رو بعد از هفت سال بست.
نکات کلیدی:
- ۶۰ درصد نگهدارنده‌های متن‌باز بدون دستمزد کار می‌کنن و نزدیک ۶۰ درصدشون به ترک کار فکر کردن
- شرکت‌هایی مثل JFrog، Docker و Snyk همین الان سالانه بیش از یک میلیارد دلار از فروش دسترسی امن به متن‌باز درمیارن، بدون اینکه پولی به نگهدارنده‌ها بدن
- پیشنهاد نویسنده: خود ریجیستری‌ها از شرکت‌های بزرگ پول بگیرن و خودکار بر اساس حضور تو دپندنسی‌تری بین پکیج‌ها تقسیمش کنن
- یه گروه ایجنت هوش مصنوعی وابسته به OpenAI باعث شد RubyGems چهار روز ثبت‌نام جدید رو ببنده