Protéger son code source et son logiciel

En France, un logiciel est protégé par le droit d'auteur, au même titre qu'une œuvre littéraire (article L112-2 du Code de la propriété intellectuelle). Aucun dépôt n'est nécessaire : la protection naît de la création elle-même, à condition que le logiciel soit original.

Encore faut-il pouvoir prouver ce que vous avez écrit, et à quelle date. C'est souvent là que tout se joue en cas de litige.

Ce qui est protégé, et ce qui ne l'est pas

Sont protégés le code source, le code objet (la version compilée, exécutable par la machine) et le matériel de conception préparatoire : spécifications, maquettes, schémas d'architecture, dès lors qu'ils conduisent au programme.

Ne sont pas protégés en tant que tels les idées, les algorithmes, les fonctionnalités ni les langages de programmation. La Cour de justice de l'Union européenne l'a rappelé en 2012 (affaire SAS Institute, C-406/10). Deux logiciels peuvent donc remplir la même fonction sans que l'un soit la contrefaçon (la reproduction non autorisée) de l'autre. Il faut pour cela que le second ne reprenne pas l'expression du premier, c'est-à-dire sa forme concrète, comme le code écrit.

L'originalité s'apprécie au regard des choix de l'auteur. En matière de logiciel, les juges demandent de démontrer le cheminement intellectuel suivi et les choix opérés parmi les options possibles. La trace de votre processus de développement, version après version, prend alors toute sa valeur.

Qui est titulaire des droits ?

Un logiciel créé par un salarié dans l'exercice de ses fonctions, ou selon les instructions de son employeur, appartient à l'employeur (article L113-9 du Code de la propriété intellectuelle).

Un logiciel développé par un prestataire ou un freelance reste en principe la propriété de son auteur, sauf cession écrite. Cette cession doit préciser les droits cédés, leur étendue, leur destination, leur durée et leur territoire (article L131-3). L'absence de cession est une cause fréquente de difficultés, notamment au moment d'une levée de fonds.

Et le brevet ?

Les programmes d'ordinateur « en tant que tels » sont exclus de la brevetabilité (article L611-10). Une invention mise en œuvre par un logiciel peut toutefois être brevetable si elle apporte une contribution technique. Dans ce cas, gardez vos travaux confidentiels jusqu'au dépôt : les dater n'est pas les divulguer.

GitHub et Ipocamp : deux outils complémentaires

GitHub, comme tout service fondé sur Git, est d'abord un outil de travail : il conserve chaque version de votre code, qui l'a modifiée, pourquoi, et comment elle a été relue. C'est la trace du cheminement de votre développement, celle-là même que les juges demandent de démontrer.

Mais GitHub n'a pas été conçu pour prouver une date face à un tiers. La date d'un commit est déclarée par la machine de celui qui l'enregistre et peut être modifiée. L'historique peut être réécrit, puis poussé à nouveau. Et ce que vous y conservez dépend de votre compte et des règles de la plateforme.

Ipocamp répond à l'autre moitié de la question. Il fixe une date qui ne dépend ni de vous ni de votre plateforme de code, et vous remet un certificat qu'un tiers peut vérifier, même si le projet GitHub a disparu depuis.

En pratique, les deux se combinent : GitHub raconte comment le code a été écrit, Ipocamp prouve quand chaque étape existait. Déposez à chaque version publiée, ou à chaque fin de sprint, une archive qui inclut l'historique Git : le certificat prouve que tout cet historique existait au plus tard à cette date.

Dater chaque version avec Ipocamp

Déposez une archive de votre code, ou de chaque version livrée : Ipocamp calcule son empreinte numérique, l'horodate et vous remet un certificat. L'empreinte est calculée au moment du dépôt et le fichier conservé est chiffré : votre code reste confidentiel.

Avec l'API, vous pouvez automatiser un certificat à chaque livraison, commit ou fin de sprint. Vous constituez ainsi, sans effort, l'historique daté de votre développement.

Conservez toujours une copie exacte de chaque archive déposée : c'est elle qui permettra de vérifier le certificat.

D'autres solutions existent

Des organismes spécialisés, comme l'Agence pour la protection des programmes (APP), proposent le dépôt de logiciels, et l'enveloppe Soleau de l'INPI peut aussi recevoir du code. Ces solutions se prêtent moins bien à la datation fréquente de nombreuses versions. Voir notre comparatif : Enveloppe Soleau, constat ou horodatage en ligne ?

Cet article a une vocation informative générale et ne remplace pas l'avis d'un professionnel du droit.

Pour aller plus loin : le scénario d'un code copié, avec et sans preuve datée et l'offre pour les startups.