13 nejlepších nástrojů pro analýzu softwarového složení (SCA) v roce 2026

Pro koho je tato stránka

Tato stránka je pro týmy, které vybírají nástroj SCA nebo ověřují, zda ten stávající ještě vyhovuje. CRACI vyvíjíme my, berte to proto v úvahu. Každé tvrzení o jiném produktu pochází z vlastní dokumentace dodavatele a většina produktů má delší stránku CRACI vs X.

Jedna věc předem: CRACI není skener SCA v klasickém smyslu. Je to záznamník. Spouští vaše joby GitHub Actions a zaznamenává, co stáhly. Má stát vedle nástroje SCA, ne ho nahradit.

Co nástroje SCA dělají

Téměř každý nástroj SCA postupuje stejně. Liší se tím, jak dobře zvládá jednotlivé kroky. Základy najdete v článcích co je analýza softwarového složení, jak funguje sken SCA, SAST vs SCA a analýza dosažitelnosti.

1. Identifikace komponent. Čtení manifestů a lockfilů, analýza zdrojového kódu nebo fingerprinting binárek, aby vznikl seznam přímých a tranzitivních závislostí.
2. Párování zranitelností. Kontrola každé komponenty a verze proti databázím, jako jsou NVD, GitHub Advisory Database a OSV.
3. Kontrola licencí proti vaší politice.
4. Prioritizace. Řazení nálezů podle závažnosti, dat o exploitech, jako je EPSS, a v mnoha nástrojích podle dosažitelnosti.
5. Oprava. Návrh aktualizací nebo otevření pull requestů.
6. Monitorování a reporting. Upozornění na nové zranitelnosti a export SBOM.

Krok jedna rozhoduje o všem, co následuje. Komponentu, kterou nástroj nikdy neidentifikoval, nelze spárovat, prioritizovat ani uvést v SBOM, a proto se první řádek tabulek níže ptá, odkud seznam komponent každého nástroje pochází. Základy najdete v článku co je analýza softwarového složení a jak se liší od SAST.

Jak vybírat

Několik otázek tyto nástroje odliší rychleji než seznamy funkcí:

• Před sloučením, nebo po vydání? Nástroje SCA vynikají v pull requestech a v IDE. Pokud je vaší těžkou otázkou, co obsahuje už vydaná verze, potřebujete záznam buildu.
• Jen závislosti, nebo i váš vlastní kód? Většina těchto produktů dnes přibaluje SAST. Některé přidávají tajné klíče, IaC, kontejnery nebo cloud.
• Kolik šumu výstrah unesete? V analýze dosažitelnosti, která ověřuje, zda váš kód může zranitelnou funkci zavolat, soutěží několik dodavatelů.
• Potřebujete zastavit škodlivé balíčky u dveří? Firewally repozitářů a proxy balíčků je blokují před stažením. Skenery je jen dodatečně nahlásí.
• Jaké CI používáte? Většina zdejších nástrojů SCA zapadne do mnoha systémů CI. CRACI dnes podporuje pouze GitHub Actions, GitLab CI a Jenkins jsou v plánu vývoje.
• Pokrývá vaše jazyky a build systémy? Zkontrolujte každý ekosystém, který vydáváte, včetně monorepozitářů a částí buildu, které nepopisuje žádný lockfile.
• Co musíte odevzdat? Pokud zákazníci nebo Cyber Resilience Act EU žádají SBOM pro každé vydání, zkontrolujte formáty, který plán zahrnuje export a zda vám nástroj řekne, když je seznam neúplný.
• Jak chcete platit? Za vývojáře, za committera, za přispěvatele, podle plánu, nebo na dotaz.

Přehled

Deset sloupců se do jedné tabulky nevejde, proto jsou produkty rozděleny do dvou. Obě tabulky používají stejné řádky. „Neuvedeno“ znamená, že stránky dodavatelů, na které odkazujeme, to neříkají ani tak, ani tak. Ceny jsou ke září 2026.

Podnikové sady SCA a AppSec

Nástroje zaměřené na vývojáře a platformní nástroje

Nástroje jeden po druhém

CRACI

CRACI je záznamník, ne skener. Vaše joby GitHub Actions běží na runnerech CRACI a proxy, která rozumí balíčkům, zaznamenává, co každý job stáhne, přičemž důkazy o závislostech se přenášejí i přes cache CI. Z tohoto záznamu vytváří SBOM ve formátu CycloneDX nebo SPDX, která uvádí svou vlastní úplnost, monitorované SBOM průběžně znovu vyhodnocuje, každý nález předá týmu, který vlastní opravu, a umí zablokovat build kvůli licenci. Nejlepší pro týmy, které musejí doložit, co šlo do každého vydání. Pozor: žádný SAST, skenování tajných klíčů, IaC ani dosažitelnost a dnes jen linuxové joby v GitHub Actions (další systémy CI, Windows a macOS jsou v plánu vývoje). Generování SBOM v době buildu

Snyk

Snyk je platforma zaměřená na vývojáře: SCA plus Snyk Code (SAST), Snyk Container a Snyk IaC, běžící v IDE, v CLI, v integracích se SCM a v CI. Nálezy v závislostech prioritizuje podle dosažitelnosti, vyspělosti exploitů, EPSS a CVSS a otevírá pull requesty s aktualizacemi. Nejlepší pro týmy, které chtějí, aby vývojáři opravovali problémy už od editoru. Pozor: strom závislostí pochází z manifestů a lockfilů a příkaz snyk sbom je dostupný jen v plánech Enterprise. CRACI vs Snyk

Sonatype

Sonatype stojí na řízení open source. Lifecycle uplatňuje bezpečnostní a licenční politiky (jeho licenční politiky zahrnují více než 2 000 licencí), na výstup buildu používá Advanced Binary Fingerprinting a otevírá Golden Pull Requests. Repository Firewall dává komponenty do karantény, než vstoupí do vašich repozitářů, a SBOM Manager monitoruje importované SBOM. Nejlepší pro velké organizace, které chtějí bránu u repozitáře. Pozor: balení produktů se mění a noví zákazníci dnes kupují Sonatype Guide. CRACI vs Sonatype

Black Duck

Black Duck najde open source, ať se skrývá kdekoli: skeny správců balíčků, skenování signatur a úryvků kódu a binární analýza spustitelných souborů a firmwaru bez zdrojového kódu. Jeho KnowledgeBase sleduje více než 2 750 licencí a Coverity přidává SAST pro 22 jazyků. Nejlepší pro kód s dlouhou historií zkopírovaného nebo vendorovaného open source a pro kontrolu binárek třetích stran. Pozor: ceny jsou na dotaz a jeho Fix PRs pokrývají přímé závislosti. CRACI vs Black Duck

Mend.io

Mend AppSec spojuje Mend SCA, které sleduje graf volání přes tranzitivní závislosti, s Mend SAST pro více než 30 jazyků. Mend Renovate udržuje závislosti aktuální napříč 90 a více správci balíčků a Renovate CLI je zdarma. Nejlepší pro týmy s velkým backlogem, které chtějí prioritizaci a automatické aktualizace dohromady. Pozor: vlastní dokumentace Mendu doporučuje skenovat po kroku buildu, takže přesnost závisí na tom, kde v pipeline ho spouštíte. CRACI vs Mend.io

Checkmarx One

Checkmarx One je široká platforma AppSec: SAST, SCA, tajné klíče, IaC, bezpečnost API, DAST, kontejnery a ochrana před škodlivými balíčky, s vrstvou ASPM navrch. Její SCA používá analýzu zneužitelných cest a politiky mohou zastavit buildy. Nejlepší pro organizace, které chtějí jednoho dodavatele pro testování bezpečnosti aplikací. Pozor: GitHub Action nahrává ke skenování zip archiv vašeho zdrojového kódu (SCA Resolver místo toho umí analyzovat on-premises) a ceny jsou na dotaz. CRACI vs Checkmarx One a alternativy k Checkmarx

Endor Labs

Endor Labs stojí na dosažitelnosti na úrovni funkcí: sleduje cesty v kódu od vašeho zdrojového kódu ke zranitelné funkci v přímých i tranzitivních závislostech. Přidává analýzu dopadu aktualizací, Endor Patches, které backportují opravy, AI SAST, skenování tajných klíčů a kontejnerů, Package Firewall a podepisování artefaktů. Nejlepší pro týmy, které se topí v upozorněních na závislosti. Pozor: tam, kde úplný build není možný, se vrací k hrubší dosažitelnosti na úrovni závislostí. CRACI vs Endor Labs

Semgrep Supply Chain

Semgrep Supply Chain je produkt SCA v platformě AppSec od Semgrepu, vedle Semgrep Code (SAST) a Semgrep Secrets. Třídí nálezy na dosažitelné, podmíněně dosažitelné a nedosažitelné a Semgrep uvádí, že to snižuje počet falešně pozitivních nálezů až o 98 %. Tam, kde jsou lockfily neúplné, kombinuje Dynamic Dependency Resolution parsování manifestů se správcem balíčků, aby seznam doplnil. Kontroluje také licence proti vaší politice, detekuje škodlivé závislosti, otevírá pull requesty s aktualizacemi a exportuje SBOM ve formátu CycloneDX. Nejlepší pro týmy, které už píší pravidla Semgrep, nebo pro malé týmy: bezplatný plán pokrývá až 10 přispěvatelů. Pozor: placené produkty se účtují zvlášť, od $30 za přispěvatele měsíčně za Supply Chain v plánu Teams.

GitHub Advanced Security

GitHub dnes prodává Secret Protection a Code Security (CodeQL, Copilot Autofix, dependency review) nad grafem závislostí a Dependabotem, které zahrnuje každý plán GitHubu. Atestace artefaktů přidávají podepsaný původ na úrovni SLSA v1.0 Build Level 2. Nejlepší pro týmy, které už jsou na GitHubu a chtějí bezpečnost přímo v pull requestech. Pozor: graf závislostí popisuje manifesty a lockfily repozitáře a soukromé repozitáře potřebují pro placené produkty plán Team nebo Enterprise. CRACI vs GitHub Advanced Security

Aikido

Aikido skrývá SCA, SAST, tajné klíče, IaC, zabezpečení cloudu, kontejnery, DAST a skenování licencí za jeden dashboard. Jeho SCA používá dosažitelnost na úrovni funkcí, AutoFix otevírá pull requesty a bezplatný nástroj Safe Chain blokuje známý malware při instalacích z npm a PyPI. Nejlepší pro menší týmy, které chtějí rychle široké pokrytí, nebo reporty pro SOC 2 a ISO 27001 z nálezů AppSec. Pozor: tyto compliance reporty začínají v plánu Advanced a závislosti pocházejí z manifestů a lockfilů. CRACI vs Aikido

Bezplatné a open source nástroje SCA

Pokud je omezením rozpočet, jádro SCA pokryjí čtyři open source nástroje. Všechny jsou zdarma pod licencí Apache-2.0. Provozujete je sami, takže monitorování, triáž a reporting si musíte postavit sami.

Trivy od Aqua Security čte v repozitáři lockfily a v image metadata nainstalovaných balíčků a zapisuje SBOM ve formátu CycloneDX nebo SPDX. CRACI vs Trivy. Grype od Anchore skenuje to, co vypíše jeho souputník Syft, a kromě stažení své databáze běží zcela lokálně. CRACI vs Syft a Grype. OSV-Scanner od Googlu je oficiální klient databáze OSV.dev a podporuje 19 a více typů lockfilů. OWASP Dependency-Check identifikuje komponenty podle CPE a páruje je s NVD, což nejlépe sedí projektům v Javě a .NET. Jak bezplatné generátory SBOM za těmito skenery čtou repozitář a proč se neshodnou, popisuje článek co open source generátory SBOM přehlížejí.

Kam zapadá CRACI

Každý další nástroj výše je skener. Čte manifest, lockfile, archiv zdrojového kódu nebo binárku a zjišťuje, co je uvnitř. CRACI je záznamník. Vaše joby GitHub Actions běží na runnerech CRACI (změňte runs-on na craci) a proxy, která rozumí balíčkům, zaznamenává, co každý job stáhne ze zdrojů npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk a Git a také ze zdrojů z předvoleb pro stahování. Důkazy o závislostech putují s cache CI. Pohled inventáře v CRACI přesně ukazuje, které verze softwaru jsou nasazeny ve kterých produktech, globálně.

Z tohoto záznamu CRACI vytváří SBOM ve formátu CycloneDX nebo SPDX, která uvádí svou vlastní úplnost pro každý job a každou cache. Vynucuje politiku odchozího provozu, která při selhání blokuje, přes své API vrací SBOM, síťové záznamy a původ (provenance), monitorované SBOM průběžně znovu vyhodnocuje a umožňuje bezpečnostním týmům provádět triáž nálezů a každý předat týmu, který vlastní opravu. Každá komponenta nese svou deklarovanou licenci, takže copyleft a další restriktivní licence se ukážou ještě před vydáním, a licenční politika může kvůli licenci zablokovat build. Automatizuje významnou část přehledu o softwarovém dodavatelském řetězci a důkazů, které firmy potřebují pro svůj širší proces dosažení souladu s CRA.

CRACI není správnou volbou, když:

• potřebujete SAST, skenování tajných klíčů nebo IaC (nedělá nic z toho),
• je vaší prioritou dosažitelnost (CRACI ji nenabízí), nebo potřebujete blokovací seznamy balíčků už dnes (jsou v plánu vývoje),
• vaše pipeline běží na GitLabu, Jenkins nebo CircleCI, nebo potřebují runnery pro Windows či macOS (CRACI dnes spouští linuxové joby v GitHub Actions; další systémy CI, Windows a macOS jsou v plánu vývoje).

V těchto případech vybírejte z nástrojů výše. Pokud zároveň potřebujete doložit, co šlo do každého vydání, provozujte CRACI jako runner a nástroj SCA ponechte u pull requestů. Podrobněji se rozdílu mezi skenerem a záznamníkem věnují stránky CRACI vs nástroje SCA a SBOM a srovnání nástrojů SBOM; přečtěte si také o generování SBOM v době buildu a cenách, nebo si rezervujte demo a podívejte se na záznam buildu GitHub Actions.

Co CRACI nahrazuje a co ne, popisuje stránka co CRACI nahrazuje.

CRACI ve srovnání s jednotlivými nástroji

• CRACI vs Snyk Co deklarují vaše manifesty vs co skutečně udělal váš build.
• CRACI vs Aikido Široká sada AppSec vs deterministické důkazy z buildu.
• CRACI vs Sonatype Kontrola na úrovni repozitáře a SCA vs důkazy z buildu.
• CRACI vs Black Duck Skenování kódu, úryvků a binárek vs důkazy z buildu.
• CRACI vs Mend.io Skenování závislostí vs pozorování závislostí.
• CRACI vs Checkmarx Platforma pro testování AppSec vs důkazy z doby buildu.
• CRACI vs Endor Labs Analýza dosažitelnosti vs pozorování buildu.
• CRACI vs JFrog Správa artefaktů vs důkazy z každého buildu.
• CRACI vs GitHub Advanced Security Skenování kódu, tajných klíčů a závislostí vs důkazy z buildu.
• CRACI vs Dependabot Aktualizace verzí vs vědět, co vaše buildy použily.

Vedle sebe

Několik nástrojů na jedné stránce, když vybíráte kategorii, ne jeden produkt.

• Srovnání: Nástroje pro správu zranitelností Tenable, Qualys, Rapid7, Microsoft Defender a nástroje pro software, který vyvíjíte.

Nástroje SCA: časté dotazy

Krátké odpovědi na časté otázky k analýze softwarového složení

Co je nástroj SCA?

Nástroj pro analýzu softwarového složení (SCA) najde v softwaru open source komponenty a komponenty třetích stran, porovná je s databázemi zranitelností, jako jsou NVD, GitHub Advisory Database nebo OSV, a upozorní na známé zranitelnosti a licenční rizika. Většina nástrojů SCA také prioritizuje nálezy, navrhuje nebo otevírá pull requesty s aktualizacemi, exportuje SBOM a dál monitoruje nové zranitelnosti.

Co je skenování SCA?

Sken SCA přečte manifesty, lockfily, nainstalované balíčky nebo image kontejneru projektu, zjistí, které komponenty obsahuje, a porovná je s daty o zranitelnostech a licencích. Většina nástrojů ho spouští u každého pull requestu a podle plánu, takže zachytí i nová bezpečnostní upozornění pro verze, které už používáte.

Jaký je rozdíl mezi SCA a SAST?

SAST analyzuje kód, který píše váš tým, kvůli chybám, jako jsou injection. SCA analyzuje komponenty, na kterých závisíte, kvůli známým zranitelnostem a licenčním problémům. Většina komerčních nástrojů na této stránce dnes prodává obojí, ale odpovídají na různé otázky.

Jaký je rozdíl mezi SCA a SBOM?

SCA je proces hledání a posuzování komponent. SBOM je strojově čitelný seznam těchto komponent, obvykle ve formátu CycloneDX nebo SPDX. Většina nástrojů SCA ji umí exportovat a SBOM je jen tak úplná jako metoda, která ji vytvořila: sken manifestů, sken binárek, nebo záznam buildu.

Jaké jsou nejlepší bezplatné nástroje SCA?

Trivy, Grype, OSV-Scanner a OWASP Dependency-Check jsou zdarma a open source. Z komerčních nástrojů má Semgrep bezplatný plán až pro 10 přispěvatelů, Snyk, Endor Labs a Aikido mají bezplatné tarify a upozornění Dependabot jsou součástí každého plánu GitHubu. Bezplatné nástroje obvykle nechávají monitorování, triáž a reporting na vás.

Co je analýza dosažitelnosti v SCA?

Analýza dosažitelnosti ověřuje, zda váš kód může zranitelnou funkci v závislosti skutečně zavolat, takže nedosažitelné nálezy klesnou v seznamu níž. Nějakou její formu nabízejí Snyk, Endor Labs, Mend, Checkmarx, Semgrep, Aikido, Sonatype i Black Duck. CRACI ne.

Je CRACI nástroj SCA?

Ne v klasickém smyslu. Nástroje SCA skenují soubory, aby zjistily, co obsahují. CRACI je záznamník: spouští vaše joby GitHub Actions a zaznamenává balíčky, které každý job skutečně stáhl, vytváří SBOM ve formátu CycloneDX nebo SPDX, která uvádí svou vlastní úplnost, a dál ji monitoruje kvůli novým zranitelnostem. Týmy ho provozují vedle nástroje SCA, který pokrývá pull requesty a SAST.