Alternativy k FOSSA

CRACI vyvíjíme my, berte to proto v úvahu; každou možnost popisujeme podle její vlastní dokumentace a říkáme, kdy se jiný nástroj hodí lépe.

Proč týmy hledají jiné řešení než FOSSA

FOSSA začínala u souladu s licencemi a je to znát: detekce licencí v plném textu, automatické politiky, extrakce copyrightů a atribuční oznámení ve formátech SPDX, HTML a text. Navíc FOSSA generuje SBOM ve formátech SPDX a CycloneDX, importuje SBOM od dodavatelů s politikami minimálních prvků NTIA a FDA a v plánu Enterprise je sdílí přes SBOM Portal. FOSSA CLI se integruje s více než 20 build systémy a k dispozici je bezplatný plán.

Týmy přesto srovnávají alternativy, obvykle kvůli rozsahu a vhodnosti:

• Hlubší kontrola kódu. Analýza úryvků, signatur a binárek ve velkém měřítku nebo statická analýza vlastního kódu ve stejné sadě.
• Platforma zaměřená především na bezpečnost. Politika kontejnerů, dosažitelnost nebo centrální evidence produktové bezpečnosti pro vás mohou být důležitější než práce s licencemi.
• Odkud SBOM pochází. FOSSA CLI se dotazuje vašeho nástroje buildu, když je k dispozici funkční build, a když není, odvozuje ze zdrojového kódu. Některé týmy chtějí záznam toho, co build stáhl.
• Ceny a hosting. Cena za projekt nemusí vyhovovat, nebo můžete chtít bezplatný nástroj provozovaný u sebe.

Na co se zaměřit

• Hloubka práce s licencemi: deklarované i nedeklarované licence, politiky, atribuční oznámení.
• Jak SBOM vznikají a zda vám nástroj řekne, když je některá neúplná.
• Příjem SBOM od dodavatelů, VEX a sdílení se zákazníky nebo úřady.
• Analýza úryvků, binárek nebo firmwaru, pokud dodáváte kód, který jste nesestavili ze zdrojového kódu.
• Pokrytí CI, možnosti hostingu a jak se cena škáluje: za projekt, za vývojáře nebo na vyžádání.

Možnosti

1. CRACI (náš produkt)

CRACI je runner GitHub Actions, který zaznamenává SBOM během běhu buildu. Proxy, která rozumí balíčkům, zachytává provoz ke zdrojům balíčků, včetně balíčků obnovených z cache CI a všech tranzitivních závislostí, které build použil, a každá SBOM uvádí svou úplnost pro každý job a každou cache. CRACI vynucuje egress policy, která je fail-closed, a monitorované SBOM průběžně znovu vyhodnocuje. Pohled inventáře CRACI přesně ukazuje, které verze softwaru jsou nasazeny ve kterých produktech, globálně.

Licence pocházejí ze stejného záznamu. Každý zaznamenaný balíček nese svou deklarovanou licenci, takže ještě před dodáním vidíte, které závislosti jsou pod komerční nebo jinak omezující licencí, a copyleftové licence zachytíte dříve, než skončí v produktu. Pravidla licenční politiky mohou build kvůli licenci zablokovat.

Nejvhodnější pro: týmy na GitHub Actions, které potřebují doložit, z čeho bylo každé vydání sestaveno, s deklarovanými licencemi a licenční politikou ve stejném záznamu. Zvažte, pokud: vaši práci s licencemi pokryjí deklarované licence. CRACI neskenuje úryvky ani binárky a dnes podporuje pouze GitHub Actions, GitLab CI a Jenkins jsou v plánu vývoje. CRACI vs FOSSA

2. Black Duck

Black Duck SCA kombinuje skenování správců balíčků se skenováním signatur, detekcí úryvků a analýzou binárek, takže najde open source, který nikdo nedeklaroval. Jeho KnowledgeBase sleduje více než 2 750 licencí, včetně nedeklarovaných licencí, plných textů a údajů o copyrightu. Black Duck Binary Analysis zkoumá spustitelné soubory, kontejnery a firmware bez zdrojového kódu a Coverity přidává SAST pro 22 jazyků.

Nejvhodnější pro: kódové základny se zkopírovaným nebo převzatým open source a týmy, které kontrolují binárky nebo firmware třetích stran. Zvažte, pokud: vám vyhovuje cena na vyžádání; k září 2026 nebyly zveřejněny žádné ceny. CRACI vs Black Duck

3. Sonatype

Sonatype Lifecycle je produkt Sonatype pro SCA a politiky. Dodává se s 18 výchozími politikami, s licenčními politikami pro více než 2 000 licencí, a jeho Advanced Binary Fingerprinting zkoumá hotovou aplikaci, včetně přejmenovaných nebo upravených komponent. Repository Firewall zastaví komponenty, které nesplňují vaše politiky, dříve než se dostanou do vašich repozitářů, a SBOM Manager importuje a monitoruje SBOM s workflow pro VEX.

Nejvhodnější pro: organizace, které chtějí licenční a bezpečnostní politiku vynucovat na úrovni repozitáře balíčků i v aplikaci. Zvažte, pokud: provozujete Nexus nebo jiný správce repozitářů. Noví zákazníci kupují Sonatype Guide; Firewall Pro začíná na $4,800 ročně (k září 2026). CRACI vs Sonatype

4. Anchore Enterprise

Anchore Enterprise staví na open source nástrojích Syft a Grype. Vytváří SBOM pro kontejnery, zdrojový kód a souborové systémy, importuje SBOM vytvořené jinde, uložené SBOM průběžně znovu skenuje a vynucuje balíčky politik, jako jsou FedRAMP a NIST. Lze ho provozovat u sebe, včetně air-gapped prostředí.

Nejvhodnější pro: prostředí s velkým podílem kontejnerů a státní správu. Zvažte, pokud: soulad s licencemi není vaší hlavní potřebou; zdroje Anchore, z nichž jsme vycházeli, se zaměřují na bezpečnostní politiku. Cena je na vyžádání. CRACI vs Anchore

5. Cybeats SBOM Studio

SBOM Studio je centrální evidence SBOM vašich produktů a dodavatelů. Podporuje SPDX 2.2 až 3.0.1 a CycloneDX 1.2 až 1.7, ověřuje soubory pomocí Quality Score, průběžně páruje komponenty a přidává VEX a licenční analýzu OSS a COTS. SBOM sdílí se zákazníky, mimo jiné přes Transparency Exchange API.

Nejvhodnější pro: týmy produktové bezpečnosti, které provozují program SBOM napříč mnoha produkty a dodavateli. Zvažte, pokud: máte samostatný způsob generování SBOM; Cybeats odkazuje na dodavatele ze svého Marketplace. CRACI vs Cybeats

6. Manifest

Manifest vytváří, importuje, obohacuje a sdílí SBOM pro vaše produkty, software vašich dodavatelů a vaše AI modely. Dodavatelé nahrávají přes portál a Manifest umí vygenerovat SBOM z kompilované binárky, pokud ji dodavatel nemůže poskytnout. Podporuje SPDX, CycloneDX a VEX a převádí nálezy na tikety a zprávy o riziku.

Nejvhodnější pro: organizace, jejichž hlavní expozicí je software, který nakupují. Zvažte, pokud: je soulad s licencemi klíčový; zdroje Manifest, z nichž jsme vycházeli, se zaměřují na bezpečnost a rizika dodavatelů. CRACI vs Manifest

7. Mend.io

Mend SCA detekuje licence u přímých i tranzitivních závislostí a vynucuje politiky, například blokování AGPL v komerčních produktech. Přidává analýzu dosažitelnosti pomocí grafu volání, detekci škodlivých balíčků, SBOM ve formátech SPDX a CycloneDX, příjem SBOM třetích stran a VEX. Mend SAST pokrývá více než 30 jazyků a Mend Renovate udržuje závislosti aktuální.

Nejvhodnější pro: týmy, které chtějí licenční politiku, bezpečnostní skenování a aktualizace závislostí od jednoho dodavatele. Zvažte, pokud: vám vyhovuje cena za vývojáře; Mend AppSec je uveden za až $1,000 za přispívajícího vývojáře ročně (k září 2026). CRACI vs Mend.io

8. Dependency-Track (open source)

OWASP Dependency-Track je bezplatná platforma pod licencí Apache 2.0, která sleduje komponenty napříč vaším portfoliem, stahuje data o zranitelnostech ze zdrojů včetně NVD a GitHub Advisories a uplatňuje bezpečnostní, licenční a provozní politiky. Načítá i vytváří CycloneDX VEX.

Nejvhodnější pro: týmy, které chtějí analýzu SBOM a licenční politiku provozovanou u sebe bez licenčního poplatku. Zvažte, pokud: jste připraveni ji provozovat a zásobovat daty; analyzuje SBOM, které nahrajete, a sama je negeneruje. CRACI pro uživatele Dependency-Track

9. ScanCode Toolkit (open source)

ScanCode Toolkit z projektu AboutCode detekuje licence, copyrighty, manifesty balíčků a přímé závislosti ve zdrojovém kódu a binárních souborech. Výsledky zapisuje jako JSON, YAML, HTML, CycloneDX nebo SPDX. Toolkit je pod licencí Apache-2.0.

Nejvhodnější pro: týmy, které chtějí bezplatnou detekci licencí a copyrightů na úrovni souborů, kterou mohou spustit kdekoli. Zvažte, pokud: kolem něj dokážete postavit workflow. Je to skener, takže politiky, monitorování a reporting si musíte doplnit sami.

10. OSS Review Toolkit (open source)

OSS Review Toolkit (ORT) je projekt Linux Foundation pod licencí Apache 2.0, který automatizuje politiku open source. Jeho Analyzer řeší závislosti napříč správci balíčků, Downloader stahuje jejich zdrojový kód, Scanner spouští skenery licencí a copyrightů, Advisor stahuje bezpečnostní upozornění, Evaluator uplatňuje vaše pravidla politik a Reporter vytváří zprávy, oznámení o open source a SBOM.

Nejvhodnější pro: týmy, které chtějí bezplatnou pipeline pro soulad s licencemi provozovanou u sebe, s politikami jako kódem. Zvažte, pokud: máte vývojářský čas na její konfiguraci a provoz.

Vedle sebe

„Anchore“ znamená Anchore Enterprise a „Cybeats“ znamená SBOM Studio. ScanCode a ORT jsou toolkity, které si sestavíte do vlastního workflow, proto jsou popsány výše a v tabulce chybí. „Neuvedeno“ znamená, že schopnost není popsána v dokumentaci dodavatele, ne že chybí.

Kdy u FOSSA zůstat

• Soulad s licencemi a atribuční oznámení jsou vaší hlavní starostí, kterou sdílí právní oddělení a vývoj.
• Chcete začít zdarma a platit za projekt, jak porostete.
• SBOM sdílíte s partnery nebo veřejností přes SBOM Portal od FOSSA.

Více o zaznamenávání SBOM u zdroje najdete v částech generování SBOM během buildu, důkazy pro CRA a ceník.

Alternativy k FOSSA: časté dotazy

Krátké odpovědi na otázky, které si týmy při srovnávání kladou

Jaká je nejlepší alternativa k FOSSA?

Záleží na tom, co vám chybí. Pro skenování úryvků a binárek se podívejte na Black Duck. Pro licenční politiku na úrovni repozitáře balíčků na Sonatype. Pro licenční politiku spolu s bezpečnostním skenováním a aktualizacemi závislostí na Mend.io. Pro programy SBOM napříč dodavateli na Cybeats nebo Manifest. Pro bezplatné nástroje na ScanCode Toolkit, ORT a Dependency-Track. Pokud potřebujete záznam toho, co každý build stáhl, CRACI ho zaznamenává přímo z buildu.

Existuje bezplatná alternativa k FOSSA?

Ano. ScanCode Toolkit a OSS Review Toolkit (ORT) jsou bezplatné open source skenery licencí a OWASP Dependency-Track je bezplatná platforma, která uplatňuje licenční politiku na SBOM, které nahrajete. Bezplatný plán má i samotná FOSSA. U bezplatných nástrojů zůstává hosting, konfigurace a reporting na vás.

Které alternativy k FOSSA vynucují licenční politiku?

Licenční politiku uplatňují FOSSA, Black Duck, Sonatype, Mend.io i Dependency-Track a ORT vyhodnocuje licenční pravidla, která si napíšete. Mend.io například umí zablokovat AGPL v komerčních produktech. V CRACI nese každý zaznamenaný balíček svou deklarovanou licenci, takže copyleftové licence zachytíte dříve, než skončí v produktu, a pravidlo licenční politiky může build zablokovat.

Řeší CRACI soulad s licencemi?

Ano, u deklarovaných licencí. Každý balíček, který CRACI z buildu zaznamená, nese svou deklarovanou licenci, která se exportuje v SBOM, a pravidla licenční politiky mohou zablokovat build kvůli licenci. CRACI neskenuje úryvky ani binárky, takže nenajde open source, který byl do vašeho kódu zkopírován bez balíčku.

Čím se FOSSA liší od Black Duck?

FOSSA začínala u souladu s licencemi a přidává správu SBOM, s bezplatným plánem a cenou za projekt. Black Duck je širší portfolio AppSec: SCA s analýzou signatur, úryvků a binárek, KnowledgeBase s více než 2 750 licencemi a Coverity SAST, s cenou na vyžádání. FOSSA nabízí skenování úryvků a binárek jako doplňky.