CRACI vs Renovate

Stručná odpověď

Renovate je stavěný na hygienu závislostí: najde soubory balíčků, otevírá pull requesty s aktualizacemi a nechá vás řídit šum pomocí plánů, seskupování a automerge. CRACI je runner pro GitHub Actions, který zaznamenává, co každý build stáhl, a monitoruje tyto SBOM kvůli novým zranitelnostem. Renovate se ptá: „Existuje novější verze?“ CRACI se ptá: „Je něco z toho, co jsme sestavili a dodali, zranitelné, a kde?“ Nesoupeří o stejnou práci a běží vedle sebe: Renovate otevírá pull requesty s aktualizacemi, CRACI vám řekne, které buildy nějakou potřebují.

V čem je Renovate dobrý

Dokumentace Renovate začíná větou „Automated dependency updates. Multi-platform and multi-language.“ (automatizované aktualizace závislostí pro více platforem a jazyků). Obě poloviny si zaslouží. „Looks for references to dependencies (both public and private)“, tedy hledá ve vašem repozitáři odkazy na veřejné i soukromé závislosti, a když existují novější verze, otevírá pull requesty, které je i jejich lockfily aktualizují.

• Šíře. Přes 90 správců balíčků a repozitáře na GitHubu, GitLabu, Bitbucketu, Azure DevOps, Gitea a Forgejo, přičemž AWS CodeCommit, Gerrit a SCM-Manager jsou uvedeny jako experimentální.
• Kontrola. Sdílitelné předvolby konfigurace, packageRules pro chování jednotlivých balíčků, plány, které omezují, kdy se pull requesty objevují, a automerge pro aktualizace, kterým věříte. Jeho dokumentace uvádí, že většina týmů nechává hlavní aktualizace na člověku.
• Přehled. Issue Dependency Dashboard, ve výchozím stavu zapnuté v config:recommended, a informace, které pomáhají rozhodnout, které aktualizace přijmout: stáří, rozšíření, úspěšnost testů a merge confidence.
• Dosah. Vlastní správci zvládají proprietární formáty souborů i populární formáty, které Renovate zatím nepodporuje.
• Volba nasazení. Open source pod licencí AGPL-3.0, spravovaný společností Mend. CLI nebo Docker image můžete provozovat sami, používat bezplatnou cloudovou aplikaci Mend Renovate Community na GitHub.com, Bitbucket Cloud a Azure DevOps Cloud, nebo provozovat self-hosted edici Community či placenou edici Enterprise.

Jak Renovate řeší zranitelnosti

Renovate má k bezpečnostním opravám dvě cesty. S vulnerabilityAlerts čte upozornění na zranitelnosti z GitHubu, což vyžaduje zapnutý graf závislostí a upozornění Dependabot. Takové pull requesty „skip the line“, tedy předbíhají frontu, ignorují plány i hodinové limity a ve výchozím stavu přecházejí na nejnižší opravenou verzi. S osvVulnerabilityAlerts kontroluje závislosti proti databázi OSV, kterou stahuje a dotazuje offline. Dokumentace je v omezení přesná: „You will only get OSV-based vulnerability alerts for direct dependencies“, tedy upozornění založená na OSV dostanete jen pro přímé závislosti, a to pro vyjmenovanou sadu zdrojů dat.

CRACI nic z toho nenahrazuje a pull requesty neotevírá. Pokud je vaším cílem udržovat stovky repozitářů aktuální s minimálním úsilím, Renovate je stavěný přesně na to.

V čem je CRACI jiné

Vychází z buildu, ne ze souborů balíčků

Renovate pracuje s tím, co váš repozitář deklaruje. Build často dělá víc: verze řeší až při instalaci, obnovuje balíčky z cache a stahuje nástroje, balíčky operačního systému a image, které žádný manifest neuvádí. expressjs/express 5.2.1 ukazuje tuto mezeru nejzřetelněji: necommituje žádný lockfile, takže generátor namířený na čistý checkout nemá co řešit a nevykáže žádnou z jeho npm závislostí, ať nástroj funguje sebelépe. CRACI takto srovnat nelze, protože zaznamenává buildy, místo aby skenovalo adresáře. Soubory v repozitáři a balíčky v buildu nejsou tentýž seznam.

CRACI build spouští. Změníte runs-on na craci a proxy, která rozumí balíčkům, zaznamená, co každý job stáhne ze zdrojů npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk a Git, plus z předvoleb pro stahování. Každý job a každá cache dostane stav úplnosti: Complete, Complete with connections, Incomplete, Unavailable nebo Not recorded.

Monitorování toho, co jste dodali

CRACI agreguje zranitelnosti napříč buildy a repozitáři a průběžně znovu vyhodnocuje monitorované SBOM, jak se objevují nová bezpečnostní upozornění. Když nějaké přijde, uvidíte, které buildy a repozitáře dotčený balíček skutečně použily, včetně balíčků, které žádný manifest neuvádí, a bezpečnostní týmy mohou provést triáž nálezu a předat jej týmu, který za opravu odpovídá. Spouštěčem je zranitelnost v něčem, co build skutečně použil, ne vydání nové verze.

Víc než monitorování

Protože CRACI je runner, vynucuje také egress policy pro každý job (výchozí zákaz nebo povolení, ověřená před startem jobu, při selhání vše zablokuje), vrací SBOM, síťové záznamy a data o původu přes své API a exportuje SBOM jako CycloneDX nebo SPDX. Nic z toho není úkolem Renovate.

Inventář toho, co je kde nasazeno

Pohled inventáře v CRACI přesně ukazuje, které verze softwaru jsou nasazeny ve kterých produktech, a to globálně. Když přijde nová zranitelnost, vidíte, které produkty dotčenou verzi provozují, místo abyste to skládali z poznámek k vydání a tabulek.

Provoz obou

• Renovate podle plánu udržuje každou závislost aktuální napříč všemi vašimi platformami a správci balíčků, s automerge pro aktualizace s nízkým rizikem.
• CRACI zaznamenává každý build v GitHub Actions, monitoruje to, co bylo dodáno, a řekne vám, kterých buildů a týmů se nová zranitelnost týká, takže víte, které pull requesty s aktualizacemi sloučit jako první.

Není co migrovat. Renovate dál čte vaše repozitáře a vaše workflow dál běží v GitHub Actions, jen na jiném runneru.

Zvažujete víc než dva nástroje? Alternativy k Renovate srovnávají sedm možností, od Dependabotu po Mend Renovate Enterprise.

Pro Cyber Resilience Act

CRA očekává, že výrobci vědí, co je v každém vydání, a že řeší zranitelnosti v něm. Renovate pomáhá tím, že udržuje závislosti opravené a aktuální. CRACI zaznamenává SBOM každého buildu, monitoruje ji kvůli novým zranitelnostem a uchovává důkazy. Automatizuje významnou část přehledu o softwarovém dodavatelském řetězci a důkazů, které firmy potřebují pro svůj širší proces souladu s CRA. Viz co je CRA a sledování zranitelností.