Directus, licencja i limity nad Twoją bazą SQL

Directus, licencja i limity nad Twoją bazą SQL

Directus podłącza się do bazy SQL, którą już masz, czyta jej strukturę i wystawia nad nią panel administracyjny oraz API w wersji REST i GraphQL. Wersja 12.3.0 z 18 sierpnia 2026 roku przyniosła jednak coś, co trzeba rozstrzygnąć przed wdrożeniem: własną licencję i klucz licencyjny, który twardo egzekwuje limity liczby miejsc, kolekcji i przepływów.

Plik licencyjny, którego nie znajdzie skaner

Zacznijmy od rzeczy, która wywraca automatyczny audyt zależności. W katalogu głównym repozytorium directus/directus plik licencyjny nazywa się license, małymi literami i bez rozszerzenia. Wszystkie pisownie, których szuka typowy skaner, zwracają błąd 404.

# stan na 22 sierpnia 2026, gałąź main
for f in license LICENSE LICENSE.md license.md LICENSE.txt COPYING NOTICE LICENSING.md; do
  curl -s -o /dev/null -w "$f -> %{http_code}\n" \
    "https://raw.githubusercontent.com/directus/directus/main/$f"
done
# license      -> 200
# LICENSE      -> 404
# LICENSE.md   -> 404
# license.md   -> 404
# LICENSE.txt  -> 404
# COPYING      -> 404
# NOTICE       -> 404
# LICENSING.md -> 404

W rejestrze npm pakiet directus w wersji 12.3.0 deklaruje "license": "SEE LICENSE IN license". To furtka w składni SPDX, używana wtedy, gdy warunków nie da się zapisać identyfikatorem. Narzędzie, które oczekuje wartości typu MIT albo Apache-2.0, dostanie w tym miejscu ciąg znaków bez znaczenia maszynowego i albo go pominie, albo zgłosi jako nieznany. Do wersji 11.17.4 włącznie pole to miało wartość BUSL-1.1, czyli poprawny identyfikator, który skaner rozpoznawał. Zmiana pola nastąpiła w 12.0.0 opublikowanej 10 czerwca 2026 roku.

Warto od razu sprawdzić, co w ogóle leży w opublikowanej paczce, bo to zaskakuje.

curl -sL https://registry.npmjs.org/directus/-/directus-12.3.0.tgz -o directus.tgz
tar tzf directus.tgz
# package/version.d.ts
# package/license
# package/version.js
# package/readme.md
# package/package.json
# package/cli.js

# archiwum ma 4975 bajtów; kodu aplikacji tu nie ma
tar xzf directus.tgz && cat package/cli.js
# import { updateCheck } from '@directus/update-check';
# import { version } from './version.js';
# if (version) { await updateCheck(version); }
# import('@directus/api/cli/run.js');

Pakiet directus jest nakładką na dwie zależności: @directus/api w wersji 39.0.0 i @directus/update-check w wersji 14.0.0. Cały serwer siedzi w tym pierwszym, który po rozpakowaniu waży 2 221 948 bajtów w 847 plikach. Plik license w paczce jest bajt w bajt identyczny z tym w repozytorium, co sprawdziłem poleceniem diff. Deklaracja zgadza się więc z zawartością, tyle że deklaracja odsyła do pliku, a nie do identyfikatora.

Monospace Sustainable Core License 1.0, klauzula po klauzuli

W środku pliku license jest tekst zatytułowany „Monospace Sustainable Core License, Version 1.0" ze skrótem własnym MSCL-1.0-GPL i notą „Copyright 2026 Monospace Inc.". To licencja autorska, napisana przez firmę stojącą za Directusem. Nie jest to Business Source License, nie jest to Elastic License ani Server Side Public License. Ten sam tekst jest opublikowany pod adresem directus.com/license.

Sedno mieści się w dwóch akapitach. Licencja daje prawo używania, kopiowania, modyfikowania, tworzenia dzieł zależnych i redystrybucji, ale wyłącznie w „Permitted Purpose". A Permitted Purpose zdefiniowany jest przez zaprzeczenie: to każdy cel inny niż „Competing Use". Competing Use oznacza udostępnianie oprogramowania dowolnej stronie, samodzielnie albo razem z własnymi produktami lub usługami, w sposób konkurujący z komercyjnymi ofertami samego Directusa, tam gdzie Monospace pobiera za to opłatę licencyjną, tantiemę lub inną należność.

Tekst wymienia wprost cztery cele dozwolone: użytek i dostęp wewnętrzny, niekomercyjną edukację, niekomercyjne badania oraz usługi profesjonalne świadczone licencjobiorcy, który sam używa oprogramowania zgodnie z tymi warunkami, włącznie z wdrożeniem i hostingiem dla tego licencjobiorcy. Ostatni punkt jest istotny dla agencji: możesz postawić i utrzymywać Directusa u klienta, bo licencjobiorcą jest wtedy klient.

Trzeba powiedzieć jasno rzecz, której czytelnik szukający „progu" w tekście licencji nie znajdzie: w MSCL 1.0 nie ma żadnego progu liczbowego. Nie ma limitu użytkowników, nie ma progu przychodu, nie ma pułapu zatrudnienia. Granicą jest rodzaj użycia, a nie skala. Liczby, które realnie ograniczają darmowe korzystanie, są w dwóch innych miejscach: w kluczu licencyjnym egzekwowanym przez kod oraz w regulaminie programu Open Innovation Grant na stronie dostawcy. Oba opisuję niżej.

Pozostałe klauzule krótko. Sekcja Limitations zabrania przenoszenia, zmieniania, wyłączania i obchodzenia funkcji klucza licencyjnego oraz modyfikowania chronionych przez niego fragmentów kodu w celu odblokowania funkcji bez ważnego klucza lub usunięcia samego ograniczenia. Sekcja Patents udziela licencji patentowej w zakresie dozwolonego użycia i wygasza ją natychmiast, jeśli pozwiesz kogokolwiek o naruszenie patentu przez to oprogramowanie. Sekcja Redistribution rozciąga warunki na wszystkie kopie i pochodne, każe dołączyć tekst licencji lub odnośnik do niego, zachować noty o prawach autorskich i zabrania nakładania dalszych ograniczeń, w tym własnych opłat. Sekcja Trademarks nie daje żadnych praw do znaków towarowych poza wskazaniem źródła oprogramowania.

Data przekształcenia istnieje i jest krocząca. Klauzula „Grant of Future License" nieodwołalnie udziela dodatkowej licencji GPL-3.0, skutecznej w czwartą rocznicę dnia udostępnienia danej wersji. Nie ma jednej wspólnej daty dla całego projektu: każde wydanie ma własny zegar. Wersja 12.3.0 udostępniona 18 sierpnia 2026 roku stanie się dostępna na GPL-3.0 osiemnastego sierpnia 2030 roku, o ile liczyć od dnia publikacji w rejestrze.

Historia zmian licencji wygląda tak. Do wersji 9.26.0 włącznie plik license zawierał pełny tekst GNU GPL v3. Od 10.0.0 była to Business Source License 1.1 z dodatkowym pozwoleniem produkcyjnym dla podmiotów, których „Total Finances", czyli największa z wartości: przychód brutto, całkowity budżet lub finansowanie, nie przekraczały 5 000 000 dolarów w ostatnich dwunastu miesiącach, z Change Date ustawioną na trzy lata od daty wydania i Change License równą GPL v3. Ten sam układ obowiązywał w 11.0.0 z 6 sierpnia 2024 roku. W 12.0.0 miejsce BSL zajął MSCL. Zmiana ma dwa praktyczne skutki: próg przychodowy zniknął z tekstu licencji, a okres do otwarcia kodu wydłużył się z trzech lat do czterech.

Klucz licencyjny i twarde limity planu Core

Bez klucza Directus 12 pracuje na wbudowanym zestawie uprawnień o nazwie Core. Ten zestaw jest zapisany w kodzie pakietu @directus/license, który jest na licencji MIT, więc można go przeczytać wprost.

{
  "meta": {
    "offline": true, "grace_period": -1, "name": "Core",
    "validation_interval": -1, "expires_at": -1
  },
  "entitlements": {
    "seats": { "limit": 3 },
    "collections": { "limit": 25 },
    "flows": { "limit": 5 },
    "sso_enabled": { "default": false },
    "activity_historical_timeframe": { "limit": 2592000 },
    "revision_historical_timeframe": { "limit": 2592000 },
    "telemetry_required": { "default": true },
    "offline_enabled": { "default": true },
    "custom_llms_enabled": { "default": false },
    "custom_permission_rules_enabled": { "default": false },
    "display_powered_by": "DIRECTUS",
    "production_enabled": { "default": true },
    "ai_translations_enabled": { "default": false }
  }
}

Trzy miejsca, dwadzieścia pięć kolekcji, pięć przepływów. Wartość 2 592 000 sekund to równo trzydzieści dni historii dziennika aktywności i rewizji. production_enabled jest ustawione na true, więc darmowy Core wolno stosować produkcyjnie. telemetry_required jest ustawione na true, a wyłączenie telemetrii figuruje w cenniku jako funkcja planu Enterprise. display_powered_by o wartości DIRECTUS oznacza firmową stopkę w panelu.

Liczenie jest bardziej wybaczające, niż wygląda, i to zmienia rachunek dla projektów na dużej bazie. Miejsce zajmuje wyłącznie użytkownik o statusie active, któremu polityka daje admin_access albo app_access, czyli osoba logująca się do panelu Studio. Konta służące tylko do wołania API przez token żadnego miejsca nie zajmują. Kolekcje liczone są po odfiltrowaniu kolekcji systemowych, folderów, pozycji ze statusem innym niż active, tabel wymienionych w zmiennej DB_EXCLUDE_TABLES oraz, co najważniejsze, tabel obecnych w bazie, ale nie zarejestrowanych w Directusie. Tabela widoczna w panelu jako „database only" nie wlicza się do dwudziestu pięciu. Baza z trzystoma tabelami mieści się w Core, dopóki wystawiasz przez Directusa co najwyżej dwadzieścia pięć z nich.

Przekroczenie limitu ma konkretny skutek. Kiedy stan licencji zostanie policzony jako locked, warstwa pośrednicząca is-locked zgłasza ResourceRestrictedError w kontrolerach items, files, assets, graphql, flows i mcp. To znaczy, że przestaje działać publiczne API treści, a nie tylko panel. Instalacje aktualizowane z wersji 11 dostają okres przejściowy: 720 godzin, czyli trzydzieści dni, liczonych od znacznika czasu migracji 20260507A. Okres ten nie przysługuje instalacjom świeżym, rozpoznawanym po tym, że między najstarszą migracją a migracją licencyjną minęło mniej niż dwadzieścia cztery godziny.

Klucz podaje się przez zmienną LICENSE_KEY albo LICENSE_TOKEN. Ustawienie obu naraz kończy się wpisem fatal w dzienniku i zakończeniem procesu. Bez zmiennych Directus czyta kolumny license_key i license_token z tabeli directus_settings.

Rodzina @directus ma dwie licencje naraz

W przestrzeni @directus w npm licencja nie jest jednolita i to jest dobra wiadomość dla tych, którzy budują na Directusie klienta lub rozszerzenia.

Na MSCL, z polem SEE LICENSE IN license, są: directus 12.3.0, @directus/api 39.0.0, @directus/app 17.1.0, @directus/schema 14.0.2 oraz @directus/storage 13.0.0. Na licencji MIT są między innymi: @directus/sdk 25.0.0, @directus/extensions-sdk 18.0.3, @directus/types 16.2.0, @directus/composables 11.6.1, @directus/themes 2.0.3, @directus/system-data 4.6.0, @directus/errors 2.5.1, @directus/env 6.2.1, @directus/constants 14.4.1, @directus/ai 1.3.2 oraz @directus/update-check 14.0.0. Klient SDK, z którego korzysta Twoja aplikacja frontendowa, jest więc permisywny; ograniczenia dotyczą serwera i panelu.

Dwie rzeczy z tego zestawienia wymagają komentarza. Pakiet @directus/license, który przechowuje stałą CORE_LICENSE, deklaruje MIT, ale w archiwum wersji 0.4.0 nie ma w ogóle pliku licencyjnego: są tylko README.md, katalog dist i package.json. Druga sprawa to rozjazd wersji wewnątrz rodziny. @directus/api 39.0.0 przypina @directus/license na sztywno do 0.4.0, podczas gdy w rejestrze najnowszą wersją tego pakietu jest 0.5.6 z 30 lipca 2026 roku. To przypięcie, nie zakres zależności równorzędnej, więc instalacja się nie wysypie, ale audyt wykaże pakiet starszy od dostępnego.

Osobno: wszystkie wydania z serii 9.x są w rejestrze oznaczone jako wycofane komunikatem „Version no longer supported. Upgrade to @latest.". Znacznik esu wskazuje na 10.13.4, znacznik canary na 12.0.0-rc.2.

Co Directus robi z Twoim schematem

To pytanie rozstrzyga, czy Directus jest narzędziem dołożonym obok bazy, czy narzędziem, które bazę wchłania. Odpowiedź: dokłada własne tabele obok Twoich i nie rusza Twoich, dopóki sam nie każesz mu tworzyć pól przez panel.

Podczas directus bootstrap uruchamiane są ziarna i sto siedem migracji, które zakładają zestaw tabel z przedrostkiem directus_. Jest ich trzydzieści trzy: directus_access, directus_activity, directus_collections, directus_comments, directus_dashboards, directus_deployment_projects, directus_deployment_runs, directus_deployments, directus_extensions, directus_fields, directus_files, directus_flows, directus_folders, directus_migrations, directus_notifications, directus_oauth_clients, directus_oauth_codes, directus_oauth_consents, directus_oauth_tokens, directus_operations, directus_panels, directus_permissions, directus_policies, directus_presets, directus_relations, directus_revisions, directus_roles, directus_sessions, directus_settings, directus_shares, directus_translations, directus_users i directus_versions. Wszystkie muszą leżeć w tej samej bazie co Twoje dane, bo Directus łączy się jednym połączeniem knex.

Metadane Twoich tabel, czyli nazwy wyświetlane, interfejsy pól i relacje, trafiają do directus_collections, directus_fields i directus_relations. Twoje własne tabele nie dostają dodatkowych kolumn. Wyjście z Directusa jest więc możliwe i sprowadza się do usunięcia tabel z przedrostkiem; baza zostaje w stanie, w jakim była, minus ustawienia panelu.

# .env
DB_CLIENT="pg"          # wartości knex: pg, mysql, sqlite3, oracledb, cockroachdb, mssql
DB_HOST="localhost"
DB_PORT="5432"
DB_DATABASE="moja_istniejaca_baza"
DB_USER="directus"
DB_PASSWORD="..."
DB_EXCLUDE_TABLES="spatial_ref_sys,audit_log"   # domyślnie: spatial_ref_sys
LICENSE_KEY=""          # pusty = wbudowany zestaw Core
KEY="..."
SECRET="..."

npx directus bootstrap                 # ziarna i migracje, tworzy admina
npx directus database migrate:latest   # sama aktualizacja schematu systemowego
npx directus schema snapshot ./snap.yaml
npx directus schema apply --dry-run ./snap.yaml
npx directus schema apply -y --ignoreRules "raporty,zamowienia.notatka"
npx directus count zamowienia
npx directus users create --email a@b.pl --password ... --role <uuid>
npx directus cache clear --system

Para schema snapshot i schema apply to sposób na przenoszenie konfiguracji między środowiskami. Flaga --dry-run wypisuje planowane zmiany bez ich wykonania, a --ignoreRules przyjmuje listę kolekcji i pól po przecinku, które mają zostać pominięte. Wymagany jest Node w wersji co najmniej 22, co deklaruje pole engines zarówno w directus, jak i w @directus/api. Sterowniki baz są zależnościami opcjonalnymi: pg, mysql2, sqlite3, oracledb i tedious.

-- wyjście z Directusa: Twoje tabele zostają nietknięte
DROP TABLE IF EXISTS
  directus_activity, directus_revisions, directus_sessions,
  directus_permissions, directus_access, directus_policies,
  directus_fields, directus_relations, directus_collections,
  directus_users, directus_roles, directus_settings,
  directus_files, directus_folders, directus_flows,
  directus_operations, directus_migrations
CASCADE;

Cennik chmury i wariantu samodzielnego

Cennik pod adresem directus.com/pricing renderuje się bez JavaScriptu, więc dane poniżej pochodzą z surowego kodu strony pobranego 22 sierpnia 2026 roku.

Plan Core kosztuje 0 dolarów i daje 3 miejsca, 25 kolekcji, 5 przepływów, asystenta AI, zaawansowaną kontrolę dostępu opartą na rolach, wsparcie społeczności oraz 30 dni retencji dziennika aktywności i rewizji. Plan Team kosztuje 499 dolarów miesięcznie przy zobowiązaniu rocznym, co strona podaje jako 5 988 dolarów rocznie, albo 599 dolarów miesięcznie bez zobowiązania. Rachunek się zgadza: 499 razy 12 to dokładnie 5 988. Rozliczenie miesięczne kosztuje więc rocznie 7 188 dolarów, czyli o 1 200 więcej. Team obejmuje 10 miejsc z logowaniem jednokrotnym, 50 kolekcji, 20 przepływów, granularne role, wsparcie podstawowe i 90 dni retencji. Dodatkowe miejsce kosztuje 50 dolarów miesięcznie, dodatkowe kolekcje 100 dolarów za paczkę 25 sztuk. Plan Enterprise ma cenę negocjowaną i obejmuje między innymi SAML i OIDC, własny model językowy, tryb offline, tłumaczenia AI, wyłączenie telemetrii oraz konfigurowalną retencję.

Chmura nie jest osobnym planem, tylko dodatkiem: 99 dolarów miesięcznie dla Core i dla Team, cena indywidualna dla Enterprise. Samodzielny hosting jest dostępny na każdym poziomie.

Trzeci wariant nazywa się Open Innovation Grant i to on jest właściwą odpowiedzią na pytanie „kto może używać Directusa za darmo bez limitów". Kwalifikują się organizacje poniżej 5 000 000 dolarów przychodu rocznie i poniżej pięćdziesięciu pracowników, a także osoby prywatne, organizacje niedochodowe i hobbyści. Grant daje nielimitowane miejsca, kolekcje i przepływy, logowanie jednokrotne, własny model językowy i tłumaczenia AI. Samodzielny hosting jest wtedy bezpłatny, chmura kosztuje wspomniane 99 dolarów miesięcznie za sam hosting. Klucz przyznawany jest na wniosek, a dostawca zastrzega sobie prawo do jego cofnięcia przy nieprawdziwych danych.

Przy progu przychodowym dostawca podaje dwie różne wartości i trzeba to odnotować. Sekcja pytań na stronie cennika mówi o „under $5M in annual revenue", czyli przychodzie rocznym, a strona directus.com/oig o „under $5M annual recurring revenue", czyli przychodzie powtarzalnym. Dla firmy o mieszanym modelu sprzedaży to różnica istotna i przed złożeniem wniosku wypada ją wyjaśnić. Drobniejsza rozbieżność dotyczy kolekcji w planie Team: tabela podaje 50, a odpowiedź w sekcji pytań mówi o 50 z możliwością rozszerzenia do 100.

Klientom sprzed zmiany cennika strona obiecuje przejściowe traktowanie: plany miesięczne utrzymane przez sześć miesięcy, plany roczne honorowane do odnowienia, licencje samodzielne rozpatrywane indywidualnie przy odnowieniu.

Directus wobec Strapi, Payload, Sanity i Contentful

Różnica jest jedna i zasadnicza. Strapi, Payload CMS i Sanity definiują własny model treści, a schemat bazy jest u nich produktem ubocznym tego modelu. Directus działa odwrotnie: bierze schemat, który już istnieje, i buduje nad nim warstwę. Jeśli masz bazę PostgreSQL obsługującą aplikację i chcesz dać redakcji panel do trzech tabel, Directus jest jedynym z tej czwórki, który nie każe Ci przepisywać modelu. Jeśli zaczynasz od zera i model treści dopiero powstaje, ta przewaga znika.

Porównanie licencji jest w tej kategorii realnym czynnikiem wyboru. Payload jest w całości na MIT, więc kwestia znika. Strapi trzyma rdzeń na MIT, a warunki komercyjne zamyka w katalogach ee/, przy czym plik nazywa się tam LICENSE wielkimi literami i pole npm dla @strapi/strapi 5.52.1 brzmi SEE LICENSE IN LICENSE. Sanity i Contentful to usługi hostowane, gdzie pytanie o licencję kodu serwera w ogóle nie stoi, bo tego kodu nie dostajesz.

Jeżeli szukasz zaplecza z API generowanym z bazy i bez tego rodzaju zastrzeżeń, sensowne kierunki to Supabase, gdzie PostgREST wystawia API wprost z PostgreSQL, oraz PocketBase przy mniejszych wdrożeniach na SQLite.

Typowe błędy

Pierwszy: uznanie, że skoro repozytorium jest publiczne i widoczne na GitHubie, kod jest otwarty. MSCL nie spełnia definicji Open Source Initiative, bo zawiera ograniczenie celu użycia. Directus 12 to oprogramowanie o dostępnym źródle.

Drugi: przyjęcie, że wynik skanera zależności jest kompletny. Pole SEE LICENSE IN license oraz nazwa pliku małymi literami wystarczają, by w raporcie licencyjnym powstała pusta rubryka. Wpis do rejestru licencji trzeba w tym przypadku zrobić ręcznie.

Trzeci: liczenie kolekcji przez liczbę tabel w bazie. Limit dotyczy kolekcji zarejestrowanych i aktywnych, a nie wszystkiego, co Directus widzi w schemacie.

Czwarty: aktualizacja z wersji 11 na 12 na produkcji bez sprawdzenia, ile miejsc i kolekcji jest w użyciu. Trzydziestodniowy okres przejściowy kończy się przejściem w stan locked, a wtedy przestają odpowiadać items, files, assets, graphql, flows i mcp.

Piąty: ustawienie jednocześnie LICENSE_KEY i LICENSE_TOKEN. Proces kończy się natychmiast z wpisem fatal.

Szósty: założenie, że tekst licencji zawiera próg przychodowy, jak było w Business Source License. Nie zawiera. Próg 5 milionów dolarów dotyczy programu Open Innovation Grant i jest warunkiem regulaminowym po stronie dostawcy, a nie klauzulą licencyjną.

FAQ

Czy mogę używać Directusa 12 komercyjnie za darmo?

Tak, w granicach zestawu Core: 3 miejsca w panelu, 25 aktywnych kolekcji, 5 przepływów, bez logowania jednokrotnego, z 30 dniami historii aktywności. Licencja nie zabrania użycia produkcyjnego, co potwierdza wpis production_enabled ustawiony na true. Zabroniona jest tylko odsprzedaż Directusa jako usługi konkurującej z ofertą Monospace.

Czym różni się MSCL od Business Source License, którą Directus miał wcześniej?

BSL 1.1 w wersjach 10 i 11 pozwalała na użycie produkcyjne poniżej 5 milionów dolarów „Total Finances" i otwierała kod na GPL v3 po trzech latach. MSCL usuwa próg finansowy z tekstu licencji, zastępuje go ograniczeniem rodzaju użycia oraz kluczem licencyjnym, i wydłuża okres do otwarcia kodu do czterech lat od udostępnienia danej wersji.

Czy Directus kiedyś stanie się w pełni otwarty?

Każde wydanie z osobna. Klauzula Grant of Future License nieodwołalnie udziela licencji GPL-3.0 w czwartą rocznicę udostępnienia danej wersji. Nie ma jednej daty dla całego projektu, tylko kroczący zegar per wydanie.

Czy Directus zmodyfikuje moje istniejące tabele?

Nie, dopóki sam nie dodasz pól przez panel. Instalacja tworzy 33 tabele z przedrostkiem directus_ w tej samej bazie i tam trzyma wszystkie metadane. Usunięcie tych tabel zostawia Twój schemat w stanie sprzed instalacji.

Ile realnie kosztuje plan Team?

499 dolarów miesięcznie przy zobowiązaniu rocznym, co daje 5 988 dolarów rocznie, albo 599 dolarów miesięcznie bez zobowiązania, czyli 7 188 dolarów rocznie. Hosting w chmurze to osobne 99 dolarów miesięcznie.

Kto kwalifikuje się do Open Innovation Grant?

Organizacje poniżej 5 milionów dolarów przychodu rocznie i poniżej 50 pracowników, a także osoby prywatne, hobbyści i organizacje niedochodowe. Grant znosi limity miejsc, kolekcji i przepływów przy samodzielnym hostingu. Dostawca podaje próg raz jako przychód roczny, a raz jako przychód powtarzalny, więc przed złożeniem wniosku wypada tę definicję potwierdzić.