Quelqu’un a copié mon code : que faire ?
Si quelqu’un a copié votre code, regardez d’abord ce que permet votre licence : les licences libres autorisent la copie sous conditions (mention de l’auteur, conservation de la licence, partage des modifications pour la GPL), donc le problème est souvent une condition non respectée, pas la copie elle-même. Gardez ensuite des preuves de la copie avant qu’elle soit réécrite, demandez la mise en conformité et, faute de réponse, envoyez une notification de retrait à l’hébergeur ; GitHub, GitLab et les stores d’applications traitent les notifications de droit d’auteur. À chaque étape, il faudra montrer que votre code existait en premier. L’historique Git aide, mais les dates de commit sont fixées par celui qui commite : une date indépendante sur une version taguée est bien plus solide.
Information générale, pas un conseil juridique pour un litige précis.
Étape 1 : de quel type de copie s’agit-il ?
| Situation | Signifie en général | Premier réflexe |
|---|---|---|
| Votre code MIT/BSD/Apache réutilisé sans votre mention de copyright | Une condition de licence n’est pas respectée ; la réutilisation était permise | Demander de rétablir la mention et le fichier de licence |
| Votre code GPL/AGPL dans un produit propriétaire | La condition copyleft n’est pas respectée (code source non partagé) | Exiger la conformité : publier le code ou cesser la distribution |
| Votre code privé publié ou vendu par quelqu’un d’autre | Contrefaçon pure, souvent une fuite ou un ancien collaborateur | Réunir des preuves, puis notification de retrait ; envisager un avocat |
| Un ancien employeur ou client utilise du code écrit pour lui | Souvent à lui par contrat ou par la loi (logiciels de salariés) | Relire votre contrat avant toute chose |
| Quelqu’un a créé la même fonction ou le même algorithme de son côté | Pas une copie : idées, algorithmes et fonctionnalités ne sont pas protégés | Rien à faire valoir sauf si le code lui-même a été copié |
Étape 2 : réunissez des preuves de la copie
- Clonez ou téléchargez leur dépôt tout de suite et notez le hash du commit, l’URL et la date. Forks et dépôts sont réécrits par force push ou supprimés.
- Archivez les pages (dépôt, page du paquet, fiche de l’appli) avec « Save Page Now » de l’Internet Archive ; pour un enjeu important, un constat par commissaire de justice.
- Repérez les traces de copie : commentaires identiques, fautes de frappe, noms de variables inhabituels, code mort, vos anciens bugs et jeux de test. Elles pèsent plus qu’une structure voisine.
- Consultez Software Heritage (archive.softwareheritage.org), qui archive les dépôts publics avec leur date de collecte et peut montrer ce qui existait à quel moment.
Étape 3 : montrez que votre code était là avant
- L’historique Git montre l’évolution du code, mais les dates d’auteur et de commit sont fixées par votre machine et peuvent être réécrites : seul, c’est une preuve faible de la date.
- Les traces de l’hébergeur (pushes, pull requests, issues, releases sur GitHub ou GitLab) sont meilleures, mais dépendent d’une plateforme qui ne vous appartient pas et peuvent disparaître avec un compte.
- Les registres de paquets (npm, PyPI, crates.io) ne datent que les versions publiées.
- Un horodatage qualifié sur un ZIP d’un commit tagué, ou sur un fichier listant les ID du commit et de l’arbre, est une date indépendante présumée exacte dans l’UE.
Étape 4 : demandez, puis faites retirer
- Ouvrez une issue ou écrivez au mainteneur. Beaucoup de violations de licence sont des négligences corrigées en quelques jours.
- GitHub : envoyez une notification DMCA via son formulaire de droit d’auteur. GitHub publie les notifications dans son dépôt DMCA public et peut désactiver le dépôt et ses forks.
- GitLab, Bitbucket, npm, PyPI, stores d’applications : chacun a un formulaire de réclamation. Dans l’UE, les hébergeurs doivent aussi traiter les signalements de contenus illicites au titre du règlement sur les services numériques.
- Pour un produit commercial ou un ancien associé, parlez à un avocat avant de rendre l’affaire publique.
Ce qu’ajoute un certificat StampR
Un certificat StampR lie l’empreinte SHA-256 de l’archive de votre version ou de votre manifeste de commits à un horodatage électronique qualifié de BORICA B-Trust, avec votre déclaration d’en être l’auteur. Selon l’article 41, paragraphe 2, du règlement eIDAS, sa date et son intégrité sont présumées exactes dans tous les États membres. Votre code ne quitte pas votre machine : seule l’empreinte est envoyée, le code privé reste privé. Si une copie apparaît plus tard, vous pouvez montrer sur la page de vérification que votre archive correspond au certificat et quand elle a été horodatée. La meilleure habitude : horodater chaque version taguée, en une minute.
Horodatez votre prochaine version – le premier certificat d’un compte coûte 4,90 €.
Ce qu’il ne fait pas
- Il ne tranche pas à qui appartient le code écrit en tant que salarié ou sous contrat. Le contrat et la loi le font.
- Il ne couvre ni idées, ni algorithmes, ni fonctionnalités. Le droit d’auteur protège le code tel qu’il est écrit.
- Il ne retire rien. Les hébergeurs le font après notification.
- Il ne crée ni n’inscrit aucun droit. Le droit sur le code naît quand vous l’écrivez.
- Il ne peut pas antidater. Horodatez avant l’apparition de la copie.
Le contexte plus large : la protection du droit d’auteur – comment le droit naît et où il est faible en pratique.
À lire aussi
- Horodater du code source et des dépôts Git – quoi horodater exactement, et comment.
- Plusieurs fichiers, un seul certificat – la méthode du manifeste SHA-256 pour les grosses bases de code.
Questions fréquentes
Est-il illégal de copier du code sur GitHub ?
Public ne veut pas dire libre. Un code sans licence est sous tous droits réservés ; un code sous licence libre ne peut être copié qu’à ses conditions, comme la mention de l’auteur ou le partage des modifications.
Comment envoyer une notification DMCA à GitHub ?
Via le formulaire de réclamation de droit d’auteur de GitHub : identifiez votre œuvre originale et le dépôt contrefaisant et joignez les déclarations requises. GitHub l’examine, publie la notification et peut désactiver le dépôt.
Peut-on copier l’idée de mon application ?
Oui. Idées, fonctionnalités et algorithmes ne sont pas protégés par le droit d’auteur ; seuls le code, les textes et les graphismes tels qu’ils sont réalisés le sont. Brevets et secret des affaires sont d’autres voies.
Les dates des commits Git prouvent-elles quand j’ai écrit le code ?
Pas à elles seules. Elles sont fixées par la machine de celui qui commite et peuvent être réécrites. Elles montrent l’évolution ; un horodatage indépendant ancre la date.
Mon code source est-il envoyé à StampR ?
Non. L’empreinte est calculée dans votre navigateur et seule l’empreinte est envoyée, sauf si vous choisissez de conserver une copie.
Sources
- Directive 2009/24/CE, article 1 – programmes protégés comme œuvres littéraires ; idées et principes exclus.
- GitHub DMCA Takedown Policy – traitement des notifications.
- Software Heritage – archive publique du code source.
- Règlement (UE) n° 910/2014 (eIDAS), article 41 – effet juridique de l’horodatage qualifié.
Sources vérifiées le 05/11/2026.
Certifiez votre travail avec une date fiable.
Créer un certificat →Le premier certificat coûte 4,90 € avec un compte.