[php] commercieel pakket distribueren

[oogapp0ltje]

ik ben van plan een zelfgeschreven project te gaan vercommercialiseren, ik ben bang dat mensen aan wie ik mijn project/programma verkoop het gaan aanpassen/wederverkopen. met andere woorden, ik zoek een manier om het pakket dat ik heb geschreven te verkopen op een zodanige manier dat klanten het pakket wel op hun eigen server hebben staan, maar geen toegang hebben tot de source code. de source op een van mijn servers plaatsen is geen optie omdat de meeste klanten onafhankelijk willen zijn van de bereikbaarheid van een van mijn servers.

met deze criteria kon ik eigenlijk maar twee oplossingen bedenken, namelijk:
- source code in te pakken in een eigen bestandsformaat, op het moment dat het pakket wordt aangesproken in de browser word het bestandje uitgepakt dmv. een unieke hash die word verkregen van mijn server. nadat de source gecompileerd is door de php-parser word deze weer ingepakt.
- source obfuscation (code word dmv onlogische functie- en variabel namen nagenoeg onleesbaar gemaakt voor derden)

zijn er mensen die ervaring hebben met een dergelijk dillema? zijn er nog betere manieren om van 'open-source' php een soort distributed-php te maken.

[gorgi_19]

ik ben van plan een zelfgeschreven project te gaan vercommercialiseren, ik ben bang dat mensen aan wie ik mijn project/programma verkoop het gaan aanpassen/wederverkopen.

Daar kan je op zich weinig tegen doen. Kijk naar Microsoft; ondanks de beveiligingen wordt ook nog steeds en masse gekopieerd / illegaal weder verkocht. Je kan het alleen moeilijker maken; met licentie / activering gaan werken, code obfuscation, licentiecodes uitgeven met verplichte activering; als ASP optreden. Een aantal opties (en er zullen er ws wel meer zijn)

[We Are Borg]

www.zend.com

[oogapp0ltje]

een van de mooiste manieren zou zijn (denk ik) om een soort precompiled code/bytecode te verkopen die door php geparsed kan worden. ik denk dat Zend met deze manier van distributie een hoop nieuwe gebruikers kan verwerven van het phpplatform op commercieel niveau.

[oogapp0ltje]

We Are Borg schreef op 05 oktober 2004 @ 09:58:
www.zend.com

blijkt dat Zend een zogenaamd 'Encoder' verkoopt voor een startbedrag van 960 dollar... en dan maar claimen dat PHP gratis in gebruik en distributie is...

[gorgi_19]

Ravenof schreef op 05 oktober 2004 @ 10:05:
[...]

blijkt dat Zend een zogenaamd 'Encoder' verkoopt voor een startbedrag van 960 dollar... en dan maar claimen dat PHP gratis in gebruik en distributie is...

Zend heeft weinig met PHP te maken. Of dacht je dat alle applicaties die op basis van PHP zijn of iets met PHP doen, gratis zijn?

[ Voor 4% gewijzigd door gorgi_19 op 05-10-2004 10:06 ]

[We Are Borg]

Je hebt al een start paket van zend voor 200/300 dollar . Small business program. Voor de rest quote van chem:

chem schreef op 25 maart 2003 @ 22:40:
Voor $295 (zie hier http://www.zend.com/store/products/zend-smallbiz.php ) heb je de encoder etc. te pakken als klein bedrijf. Als dat bedrag een substantieel deel uitmaakt van je totale inkomsten, dan vraag je of te weinig, of je overschat de waarde van je project

[pthn]

Ik zou me ook niet zo'n zorgen maken over aanpassen/wederverkopen. Als men niet wil betalen voor je software, kan je er ook niets aan verdienen. Wat is dan het verschil tussen mensen die illegaal (via diefstal) alsnog je software gebruiken en mensen die het helemaal niet gebruiken? Je portemonee merkt daar niets van! Bovendien kan het goede reclame zijn voor je product als het overal verspreid wordt en komt die omzet vanzelf weer.

[mtak]

je moet natuurlijk ook in je licentie regelen dat er geen aanpassingen gemaakt mogen worden. Als je dan een aangepaste versie van je software ziet en je kunt aantonen dat het origineel van jou was kun je ze voor de rechter slepen

[wim__k]

http://www.ioncube.com/ - biedt ook een PHP encoder aan. Een stuk goedkoper voor het normale pakket ($199) ivm zend encoder. Maar ze bieden ook een optie aan om per pagina te encoden voor $0.50.

[pthn]

Bedenk goed dat het in business-to-business (want dat maak ik op uit je verhaal) gaat om vertrouwen.


@Llanorant:
Ja dat vergat ik nog te zeggen, je hebt altijd de wet achter je.

[MBV]

Je kan ook overwegen om het bij je eigen webhoster te laten draaien, en klanten er daar gebruik van laten maken. Zo deden we dat bij een stagebedrijf. Je kan dan een webservice maken (httpS uiteraard ) om de data in te lezen. Voordeel is dat je het kan verhuren (dus per jaar betalen), of verkopen (= verhuren voor belachelijk lange tijd), en je kan zelf de updates regelen.
Nadeel is dat de klant je aansprakelijk zal stellen zodra je een beveiligingslek hebt, of je een beetje veel downtime gaat krijgen.

Oftewel: als je je webapplicatie zelf host en verhuurt aan klanten, stel dan een waterdichte SLA op

[Gomez12]

Wat is je doelgroep??? Als dit bedrijven zijn, dan gewoon een goede overeenkomst maken en zend-encoden. Bij particulieren zou ik inderdaad gewoon een betrouwbare hoster zoeken die dit voor je wil draaien...

Btw. Wat is er trouwens op tegen dat zend-encoder geld kost??? Het helpt je als je een commercieel ding hebt, dus verdien jij eraan, waarom zouden hun jou gratis moeten helpen met geld verdienen???

[eamelink]

pthn schreef op 05 oktober 2004 @ 10:25:
Ik zou me ook niet zo'n zorgen maken over aanpassen/wederverkopen. Als men niet wil betalen voor je software, kan je er ook niets aan verdienen. Wat is dan het verschil tussen mensen die illegaal (via diefstal) alsnog je software gebruiken en mensen die het helemaal niet gebruiken? Je portemonee merkt daar niets van! Bovendien kan het goede reclame zijn voor je product als het overal verspreid wordt en komt die omzet vanzelf weer.

Dat is wel een beetje simpel gedacht he. Als hij echt belangrijke, toffe software maakt, die mensen hoe dan ook willen gebruiken; dán loopt hij geld mis als mensen het illegaal kopiëren.

Vergelijk het met windows; als kopiëren niet meer zou kunnen, dan wordt het echt wel meer verkocht. Het is niet zo dat veel mensen zullen denken: als het niet meer gratis kan, loos ik windows wel.

[Verwijderd]

eamelink schreef op 05 oktober 2004 @ 11:19:
Vergelijk het met windows; als kopiëren niet meer zou kunnen, dan wordt het echt wel meer verkocht. Het is niet zo dat veel mensen zullen denken: als het niet meer gratis kan, loos ik windows wel.

Niet geheel waar; veel mensen zullen eerst even verder kijken naar een goedkoper cq gratise vervanger..

maar ontopic; alles wat is gemaakt, gecodeerd en etc valt weer terug te brengen naar bijna oorspronkelijke code (imho) maar goede contracten werken meestal erg goed.

[JayVee]

Wij gebruiken de Turck MMCache als optimizer en PHP Coder om het te encoden. Kan je ook nog eens aangeven op welke IPs de software mag draaien en hoe lang (datum). Allebij open source en dus gratis!

Ik heb wel gehoord dat veel mensen het niet gebruiken omdat ze het buggy vinden (geldt ook voor andere optimizers, zelfs Zend). Het product dat we gecode gaan verkopen is weliswaar complex, maar gebruikt geen bijzondere PHP features (command line, gdlib, file uploads). En dat draait echt prima geencode!

// edit: @ citnetx:
Natuurlijk is alles theoretisch terug te halen naar source. Dat is echter niet triviaal (er bestaat nog geen programma voor) en kost heel erg veel moeite. De meeste klanten zullen niet eens weten dat het kan. Mochten ze echter gewoon de source krijgen kunnen ze het wel doorverkopen en veranderen.

[ Voor 22% gewijzigd door JayVee op 05-10-2004 11:30 ]

[Verwijderd]

Je kan sourceguardian proberen.

http://www.sourceguardian.com/

Met dit paket kan je een tijdlimit aan het pakket geven en het binden aan een ipdares van de server dus kan hij nergens anders staan dan op die server.

Nog een idee is om een config file te maken met het betreffende ip adres en die encrypten.

Zo kan je nog wel 100 dingen bedenken maar helemaal veilig heb je het nooit.

Hoop dat je er wat aan hebt!!

[Verwijderd]

Verwijderd schreef op 05 oktober 2004 @ 11:39:
Je kan sourceguardian proberen.

http://www.sourceguardian.com/

Met dit paket kan je een tijdlimit aan het pakket geven en het binden aan een ipdares van de server dus kan hij nergens anders staan dan op die server.

Nog een idee is om een config file te maken met het betreffende ip adres en die encrypten.

Zo kan je nog wel 100 dingen bedenken maar helemaal veilig heb je het nooit.

Hoop dat je er wat aan hebt!!

De optie van JayVee hierboven is beter omdat deze gratis is.

[pthn]

@eamelink: De vergelijking tussen de software van de TS en Windows gaat waarschijnlijk nat op het feit dat Windows succesvol is om dat zo ontzettend veel mensen het gebruiken. Daardoor is er zoveel software ontwikkeld voor Windows en wil iedere weer Windows (poeh wat een cirkel redenatie).

Voor de software van TS gelden de eisen als de uitwisselbaarheid van bestanden, een herkenbare gebruikersinterface etc. wellicht minder als bij Windows, en is het belang dat zoveel mogelijk mensen de software hebben misschien minder groot.

[pierre-oord]

Ik zou mijn eigen verify tool schrijven.
Zodat het script moet checken via een pagina op een eigen server, een ingevulde licence key daarin laat controleren. Aan de hand van deze key, en het IP adres waarop de server draait, wordt gechecked of je toegang hebt. Bij meerdere dezelfde IP's zet je de licentie uit, of wijzig je de code.
Alleen nog het probleem met iemand die de output van mijn script nabootst. De output moet afhankelijk worden van de datum op de dag en seconden, maar geen controle op de secondes zelf, maar op die manier wijzigt wel de teruggegeven MD5 string.
Enige probleem: Als iemand achterhaalt hoe je de code berekend, tsja.. mm, moet iets op te vinden zijn.

[Tuxie]

Als iemand achterhaalt hoe je de code berekend, tsja.. mm, moet iets op te vinden zijn.

Wat dacht je van een random getal extra genereren? Veel plezier met raden

[Verwijderd]

Leuk idee, maar als het een LAN applicatie word??? stel dat, dat niet het geval is is het wel een goed idee check op ip en md5 code die je zelf hebt gegenereerd en klaar ben je.

[Reignman]

Modbreak:

Hiervoor is Programming & Webscripting niet bedoeld. Op sites als monsterboard / randstad kan je wel eea vinden.
Het bericht is dan ook verwijderd.

[ Voor 94% gewijzigd door gorgi_19 op 05-10-2004 17:55 ]

[djluc]

@ts: is je applicatie zo ontwikkeld dat je sowieso altijd een internet verbinding nodig hebt? Dat geeft in ieders geval al vast wat mogelijkheden wat betreft een eigen server waar je enige veiligheidschecks op doet.

[mr_star]

JayVee schreef op 05 oktober 2004 @ 11:28:
Wij gebruiken de Turck MMCache als optimizer en PHP Coder

Turck MMCache ziet er idd heel interessant uit maar blijkbaar ligt het project stil. Erg jammer want de ondersteuning voor php5 is zo te zien nog niet helemaal in orde. Mijn belangrijkste en zwaarste script van mijn php5 applicatie kan niet ge-encode worden . Laten we hopen dat er toch nog aan verder gewerkt wordt...

[pierre-oord]

attamottamotta schreef op 05 oktober 2004 @ 15:04:
[...]


Wat dacht je van een random getal extra genereren? Veel plezier met raden

Ja, dat is idd de beste manier dan nog.

De beste beveiliging vind ik een beveiliging die open-source is. Als iedereen weet hoe het werkt en het niet te cracken is, dan heb je een goede beveiliging.

Maar toch, als ik een getal van 987234,32*10^24,763 in de MD5 string zet, dan is de kans toch klein dat iemand die vind

Voor een LAN applicatie is het idd een wat minder handig systeem, maar dit systeem is wel ideaal omdat je bijvoorbeeld de user verplicht minimaal 1x per dag de verify tool te laten draaien, of misschien om de dag, of zelfs om de week. Zo kan je systeem gewoon werken zonder internet, maar iedere week heeft het een nieuwe activatie nodig.

Misschien ga ik de tool wel schrijven. Kan ik er gelijk een eigen licentie systeem aan verbinden

Ik wil werken met registratie codes en een database. In principe wil ik IP adres bindingen erbuiten laten. Ik weet niet hoe dat zich gaat gedragen op multi-homed systemen, en het is weer lastig voor de gebruiker.
Echter, door het aantal controles per week te tellen kun je wel een idee krijgen of je licentie code is weggegeven.
Vermoed je dat, dan geef je het betreffende bedrijf/persoon een nieuwe code. Eventueel zou je dan op dat moment alsnog de aanvraag naar het script op eigen server kunnen controleren door te kijken vanaf welk IP adres de aanvraag wordt gedaan. Toch moet dit toch in de md5 string worden ingebouwd dan ook aan de andere kant, anders zou een proxy achtig systeem kunnen worden opgezet door iemand, die m'n output van het script gewoon opslaat, en verder verspreid zonder IP check.