Dependency licences

Rail402 is Apache-2.0. Every package that runs in the service is under a permissive licence, and no copyleft licence appears anywhere in the tree, development tooling included, except the exceptions flagged below. The policy is enforced on every CI run by pnpm license:gate (tools/license-gate/src/policy.ts).

Permissive allowlist: 0BSD, Apache-2.0, BlueOak-1.0.0, BSD-2-Clause, BSD-3-Clause, CC0-1.0, ISC, MIT, MIT-0, PostgreSQL, Python-2.0, Unlicense, Zlib.
Forbidden anywhere: AGPL*, GPL*, LGPL*, SSPL*, EUPL*, OSL*, CPAL*, CC-BY-SA*, CC-BY-NC*, BUSL*, Elastic*, Commons-Clause*.
The OpenZeppelin Relayer, its x402 plugin and the relayer SDK are AGPL and are not used.

Summary

Closure	Packages
Service (the container image)	93
Other workspace tools (conformance runs, evaluation)	84
Development only (build, lint, test)	154

Flagged items

Refused whatever licence they declare:

Package	Reason	Present
@openzeppelin/relayer-sdk	AGPL-3.0-or-later; copyleft, never allowed	no
@openzeppelin/relayer-plugin-x402-facilitator	AGPL-3.0-or-later; copyleft, never allowed	no
sharp	ships LGPL-3.0-or-later libvips binaries	no

Tolerated in development tooling only; never shipped:

Package	Licence	Reason
lightningcss	MPL-2.0	vite (via vitest) CSS transformer; file-level copyleft, test tooling only, never distributed
lightningcss-linux-x64-gnu	MPL-2.0	platform binary of lightningcss; test tooling only, never distributed

Dual or compound licences (a permissive branch is always available):

Package	Licence
type-fest@0.20.2	(MIT OR CC0-1.0)

Artifacts outside the package manager

Artifact	Licence	Where
sentence-transformers/all-MiniLM-L6-v2 (ONNX weights and tokenizer)	Apache-2.0	service image; pinned revision and hashes in packages/search/models/all-minilm-l6-v2.json
node:24 trixie-slim base image	MIT (Node.js); Debian packages under their own free licences	service image
rs-soroban-env simple_account.wasm	Apache-2.0	tests only; packages/testkit/fixtures/README.md
postgres:18 image	PostgreSQL	docker-compose and CI only
stellar/quickstart image	Apache-2.0	docker-compose and CI only

Service packages

Package	Version	Licence
@adraffy/ens-normalize	1.11.1	MIT
@hono/node-server	2.1.1	MIT
@noble/ciphers	1.3.0	MIT
@noble/curves	1.9.1	MIT
@noble/curves	1.9.7	MIT
@noble/ed25519	3.2.0	MIT
@noble/hashes	1.8.0	MIT
@noble/hashes	2.4.0	MIT
@opentelemetry/api	1.9.1	Apache-2.0
@pinojs/redact	0.4.0	MIT
@scure/base	1.2.6	MIT
@scure/bip32	1.7.0	MIT
@scure/bip39	1.6.0	MIT
@signinwithethereum/siwe-parser	4.2.1	Apache-2.0
@signinwithethereum/siwe	4.2.1	Apache-2.0
@stellar/js-xdr	4.0.0	Apache-2.0
@stellar/stellar-sdk	16.3.0	Apache-2.0
@x402/core	2.27.0	Apache-2.0
@x402/extensions	2.27.0	Apache-2.0
abitype	1.2.3	MIT
agent-base	6.0.2	MIT
ajv	8.20.0	MIT
apg-js	4.4.0	BSD-2-Clause
asynckit	0.4.0	MIT
atomic-sleep	1.0.0	MIT
axios	1.18.0	MIT
base32.js	0.1.0	MIT
base64-js	1.5.1	MIT
bignumber.js	11.1.5	MIT
bintrees	1.0.2	MIT
buffer	6.0.3	MIT
call-bind-apply-helpers	1.0.2	MIT
combined-stream	1.0.8	MIT
commander	14.0.3	MIT
debug	4.4.3	MIT
delayed-stream	1.0.0	MIT
dunder-proto	1.0.1	MIT
es-define-property	1.0.1	MIT
es-errors	1.3.0	MIT
es-object-atoms	1.1.2	MIT
es-set-tostringtag	2.1.0	MIT
eventemitter3	5.0.1	MIT
eventsource-parser	3.1.1	MIT
eventsource	4.1.1	MIT
fast-deep-equal	3.1.3	MIT
fast-uri	3.1.8	BSD-3-Clause
feaxios	0.0.23	MIT
follow-redirects	1.16.0	MIT
form-data	4.0.6	MIT
function-bind	1.1.2	MIT
get-intrinsic	1.3.0	MIT
get-proto	1.0.1	MIT
gopd	1.2.0	MIT
has-symbols	1.1.0	MIT
has-tostringtag	1.0.2	MIT
hasown	2.0.4	MIT
hono	4.13.8	MIT
https-proxy-agent	5.0.1	MIT
ieee754	1.2.1	BSD-3-Clause
is-retry-allowed	3.0.0	MIT
isows	1.0.7	MIT
jose	5.10.0	MIT
json-schema-traverse	1.0.0	MIT
kysely	0.29.6	MIT
math-intrinsics	1.1.0	MIT
mime-db	1.52.0	MIT
mime-types	2.1.35	MIT
ms	2.1.3	MIT
on-exit-leak-free	2.1.2	MIT
ox	0.14.45	MIT
pino-abstract-transport	3.0.0	MIT
pino-std-serializers	7.1.0	MIT
pino	10.3.1	MIT
process-warning	5.1.0	MIT
prom-client	15.1.3	Apache-2.0
proxy-from-env	2.1.0	MIT
quick-format-unescaped	4.0.4	MIT
real-require	0.2.0	MIT
real-require	1.0.0	MIT
require-from-string	2.0.2	MIT
safe-stable-stringify	2.5.0	MIT
smol-toml	1.9.0	BSD-3-Clause
sonic-boom	4.2.1	MIT
split2	4.2.0	ISC
tdigest	0.1.3	MIT
thread-stream	4.2.0	MIT
tweetnacl	1.0.3	Unlicense
typescript	6.0.3	Apache-2.0
uint8array-extras	1.5.0	MIT
viem	2.56.8	MIT
ws	8.21.0	MIT
zod	3.25.76	MIT
zod	4.6.5	MIT

Other workspace tools, by licence

Licence	Packages
MIT	71
ISC	6
Apache-2.0	4
BSD-3-Clause	2
(MIT OR CC0-1.0)	1

Development only, by licence

Licence	Packages
MIT	123
Apache-2.0	14
BSD-2-Clause	6
ISC	6
BSD-3-Clause	2
MPL-2.0	2
BlueOak-1.0.0	1

Start here

Facilitator

Bazaar

Reference

Dependency licences

Summary

Flagged items

Artifacts outside the package manager

Service packages

Other workspace tools, by licence

Development only, by licence

​Summary

​Flagged items

​Artifacts outside the package manager

​Service packages

​Other workspace tools, by licence

​Development only, by licence

Summary

Flagged items

Artifacts outside the package manager

Service packages

Other workspace tools, by licence

Development only, by licence