CRACI vs FOSSA

Stručná odpověď

FOSSA je nejsilnější v souladu s open source licencemi a ve správě životního cyklu SBOM: generuje SBOM aplikací, importuje SBOM třetích stran, monitoruje je na zranitelnosti a sdílí je se zákazníky a úřady. CRACI je runner pro GitHub Actions, který zaznamenává závislosti, které si každý job skutečně stáhl, a z tohoto záznamu vytváří SBOM se stavem úplnosti.

FOSSA spravuje SBOM, které jí předáte. CRACI ji vytvoří z buildu a dál ji monitoruje, takže u vašeho vlastního softwaru jsou CI, SBOM i sledování zranitelností na jednom místě. Tam, kde je hlavní starostí soulad s licencemi, je FOSSA stále napřed.

Přehled

Co FOSSA dělá dobře

• Soulad s licencemi. Tady FOSSA začínala a je to znát. Detekuje licence z plného textu, automaticky uplatňuje politiky, extrahuje informace o copyrightu a generuje atribuční oznámení v SPDX, HTML a textu. Právní a vývojové týmy mohou pracovat se stejnými daty.
• Životní cyklus SBOM. FOSSA „vytváří i přijímá SBOM“. Generuje SBOM v SPDX a CycloneDX, volitelně s prohlášeními VDR nebo VEX, a importuje existující SBOM, aby mohla „analyzovat závislosti, které nesestavujete sami“. Politiky SBOM mohou u importovaných souborů vyžadovat minimální prvky NTIA a FDA.
• Distribuce. V plánu Enterprise sdílí SBOM Portal data SBOM s partnery nebo veřejně, takže zákazníkům neposíláte soubory e-mailem.
• Široké skenování. FOSSA CLI se integruje s více než 20 build systémy a skenování kontejnerů je součástí. Skenování úryvků a binárních souborů je k dispozici jako doplněk.
• Bezplatný vstup. Plán Free pokrývá 5 projektů a 5 importovaných SBOM. Business stojí $20 za projekt měsíčně při roční fakturaci a Enterprise má individuální ceny (stav k září 2026).

Pokud je vaším hlavním problémem licenční riziko nebo správa SBOM, které přicházejí od mnoha dodavatelů, FOSSA pokrývá oblasti, které CRACI nepokrývá. CRACI zobrazuje deklarovaná licenční metadata, zahrnuje je do exportu SBOM a vynucuje licenční politiku.

V čem se CRACI liší

SBOM vychází z toho, co build udělal

FOSSA CLI analyzuje projekt tak, že se integruje s jeho build nástrojem, pokud je k dispozici funkční build, a odvozuje závislosti ze zdrojového kódu, pokud není. To je rozumný přístup, a přesto jde stále o analýzu projektu. CRACI místo toho job spouští. Změníte runs-on na craci a proxy rozpoznávající balíčky zaznamenává během buildu provoz na zdroje balíčků: npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk a zdroje Git, plus předvolby pro stahování. Důkazy o závislostech putují s cache CI, takže balíček obnovený z cache je v záznamu stále uveden, včetně všech tranzitivních závislostí, které build použil.

Na metodě záleží, protože generátory SBOM se neshodnou, a to záměrně. Každý sám rozhoduje, co se počítá jako komponenta a kterým souborům věřit, takže dva z nich nasměrované na jeden repozitář dají dva překrývající se, ale odlišné seznamy. FOSSA ani CRACI nelze takto porovnat, protože CRACI zaznamenává buildy a adresář skenovat neumí. Jde o statickou analýzu obecně: výsledek závisí na nástroji, jeho nastavení a přítomných souborech.

Řekne vám, když je neúplná

Politiky SBOM ve FOSSA kontrolují, zda jsou přítomna povinná pole. CRACI přidává jiný signál: stav úplnosti pro každý job a každou cache (Complete, Complete with connections, Incomplete, Unavailable nebo Not recorded), který říká, zda měl mezeru samotný záznam. Když se auditor zeptá, jak víte, že je inventář úplný, toto je odpověď.

Kontrola a původ

Protože CRACI job spouští, vynucuje egress policy: výchozí zákaz nebo výchozí povolení, s 24 vestavěnými předvolbami softwarových zdrojů a typovanými vlastními zdroji, ověřenou před spuštěním jobu a fail-closed. API vrací SBOM, síťové stopy a data o původu.

Monitorování

CRACI průběžně znovu vyhodnocuje monitorované SBOM. Fossabot ve FOSSA řeší jiný problém: kontroluje aktualizace závislostí, včetně těch z Dependabotu nebo Renovate, z hlediska nekompatibilních změn a dopadu.

Inventář toho, co je kde nasazeno

Pohled inventáře v CRACI ukazuje přesně, které verze softwaru jsou nasazeny ve kterých produktech, globálně. Když se objeví nová zranitelnost, vidíte, které produkty používají dotčenou verzi, místo abyste to skládali dohromady z poznámek k vydání a tabulek.

Nahrazení FOSSA nástrojem CRACI

U softwaru, který vyvíjíte sami, pokrývá CRACI to, co dělají funkce FOSSA pro SBOM a zranitelnosti, přímo u zdroje. Spouští vaše joby v GitHub Actions, zaznamenává SBOM každého buildu, průběžně znovu vyhodnocuje monitorované SBOM, jakmile se zveřejní nové zranitelnosti, agreguje nálezy napříč buildy a repozitáři a umožňuje bezpečnostním týmům provést jejich triáž a předat každý z nich týmu, který odpovídá za opravu. Přidat lze i SBOM od dodavatelů, takže nakupované komponenty se monitorují spolu s vašimi vlastními buildy. Není třeba udržovat žádný samostatný krok s CLI.

Buďte si jasní v tom, čeho se vzdáváte. Soulad s licencemi ve FOSSA je vyspělý: politiky, detekce licencí z plného textu, extrakce copyrightu a atribuční oznámení. CRACI exportuje deklarovanou licenci každé komponenty a vynucuje licenční politiku, včetně zablokování buildu kvůli licenci; detekce a atribuční výstupy FOSSA jdou dál. CRACI také nemá skenování úryvků ani binárních souborů, žádný portál pro sdílení SBOM a dnes podporuje pouze GitHub Actions, GitLab CI a Jenkins jsou v plánu vývoje. Pokud je soulad s licencemi vaší hlavní starostí, FOSSA si ponechte.

Pro Cyber Resilience Act

FOSSA zveřejňuje pokyny k CRA. Její shrnutí požadavku na SBOM: výrobci vypracují SBOM v běžně používaném, strojově čitelném formátu, která obsahuje „přinejmenším nejdůležitější závislosti produktu“, a sdílejí ji s orgány dozoru nad trhem jako součást technické dokumentace. FOSSA prezentuje jako svou pomoc s CRA import, generování, analýzu zranitelností a bezpečné sdílení s úřady.

Nejdůležitější závislosti produktu, které CRA požaduje, jsou minimum, ne cíl. Zranitelnost v tranzitivním balíčku je stále ve vašem produktu. Oznamovací povinnosti podle CRA platí od 11. září 2026, přičemž včasné varování je u aktivně zneužívané zranitelnosti nutné do 24 hodin, a jeho hlavní ustanovení se použijí od 11. prosince 2027. CRACI zaznamenává celou sadu závislostí, kterou každý build použil, přes své API vrací SBOM, síťové stopy a data o původu a exportuje SBOM jako CycloneDX nebo SPDX, včetně zranitelností.

CRACI automatizuje významnou část přehledu o softwarovém dodavatelském řetězci a důkazů, které firmy potřebují pro svůj širší proces souladu s CRA. Ani jeden z produktů sám o sobě výrobce do souladu neuvede. Viz co CRA požaduje a soulad s CRA s CRACI.

CRACI a FOSSA: časté dotazy

Nahrazení FOSSA, ceny, formáty SBOM a podpora CI

Je CRACI alternativou k FOSSA?

Ano, pro SBOM a monitorování zranitelností softwaru, který vyvíjíte. CRACI spouští vaše joby v GitHub Actions, zaznamenává SBOM každého buildu, průběžně znovu vyhodnocuje monitorované SBOM a umožňuje bezpečnostním týmům provést triáž nálezů a předat je týmu, který za ně odpovídá. V souladu s open source licencemi je FOSSA stále napřed, takže pokud je to vaše hlavní starost, FOSSA si ponechte.

Nahrazuje CRACI FOSSA, nebo funguje vedle něj?

U vašeho vlastního softwaru ho CRACI nahrazuje: CI, SBOM i sledování zranitelností jsou v jednom produktu a není třeba udržovat samostatný krok s CLI. Vzdáte se tím vyspělého souladu s licencemi ve FOSSA (detekce licencí z plného textu, extrakce copyrightu a atribuční oznámení), jeho doplňků pro skenování úryvků a binárních souborů a jeho portálu SBOM Portal.

Jak se ceny CRACI liší od FOSSA?

K září 2026 má FOSSA plán Free pro 5 projektů a 5 importovaných SBOM, Business za $20 za projekt měsíčně při roční fakturaci a individuální ceny pro Enterprise. CRACI účtuje pouze minuty buildu: $0.002 za vCPU-minutu ($0.004 za výchozí runner se 2 vCPU), po sekundách, bez měsíčního poplatku a bez poplatku za SBOM. Aktuální podmínky najdete v ceníku.

Které formáty SBOM FOSSA a CRACI podporují?

Oba exportují SPDX a CycloneDX. FOSSA umí ke svým SBOM přidat prohlášení VDR nebo VEX. CRACI exportuje SBOM každého buildu s tranzitivními závislostmi a deklarovanou licencí každé komponenty, uvádí, jak úplný byl záznam pro každý job a každou cache, a podporuje VEX.

Umí CRACI sledovat SBOM od dodavatelů jako FOSSA?

Ano. Do CRACI můžete přidat SBOM od dodavatelů a tyto nakupované komponenty se monitorují spolu se softwarem, který vyvíjíte. FOSSA importuje soubory SPDX a CycloneDX a umí na ně uplatnit politiky SBOM, například vyžadovat minimální prvky NTIA a FDA.

Které CI systémy FOSSA a CRACI podporují?

FOSSA CLI běží uvnitř vašeho CI a integruje se s více než 20 build systémy. CRACI je dnes runner pro GitHub Actions; další CI systémy jsou v plánu vývoje, mezi nimi GitLab CI a Jenkins.

Pomáhá CRACI s Cyber Resilience Act?

Ano. CRACI zaznamenává celou sadu závislostí, kterou každý build použil, nejen přímé závislosti, přes své API vrací SBOM, síťové stopy a data o původu a připravuje obsah oznámení o zranitelnostech podle CRA, která pak podáváte vy. Automatizuje významnou část přehledu o dodavatelském řetězci a důkazů, které váš proces CRA potřebuje; ani jeden z produktů sám o sobě výrobce do souladu neuvede. Rezervujte si demo a porovnejte SBOM z CRACI s tou, kterou spravujete dnes.