V roce 2026 o 131% více nahlášených CVE denně než loni.

Export SBOM a důkazy pro CRA z každého buildu

SBOM zaznamenané během buildu, záznam buildu přes API a záznamy o zranitelnostech až do opraveného vydání: důkazy, o které se opírá vaše technická dokumentace

SBOM z doby buildu ve formátu CycloneDX nebo SPDX

CRACI zaznamenává SBOM během běhu každého buildu na jeho runneru, takže SBOM obsahuje balíčky, které job skutečně stáhl, včetně balíčků obnovených z cache CI. Každý SBOM lze exportovat jako CycloneDX nebo SPDX, s tranzitivními závislostmi, zranitelnostmi nalezenými v jejich komponentách a deklarovanou licencí každé komponenty. SBOM každého jobu nese také stav úplnosti.

An SBOM recorded during the build Packages from npm, PyPI, Cargo, Go, OCI registries and the CI cache pass through a package-aware proxy on the CRACI runner. The job's SBOM lists what was fetched, states its completeness and exports as CycloneDX or SPDX. Package sources npm PyPI Cargo · Go OCI registries CI cache restore Package- aware proxy on the runner Job SBOM express 5.2.1 requests 2.32.3 serde 1.0.219 + transitive deps Declared license on every component Complete Completeness states per job and cache: Complete, Complete with connections, Incomplete, Unavailable, Not recorded CycloneDX · SPDX

SBOM, síťové záznamy a původ přes API

Veřejné REST API vrací SBOM jobu, jeho síťový záznam a data o původu, takže záznam buildu může putovat do vaší vlastní dokumentace a nástrojů. SBOM API vrací CycloneDX 1.7 JSON.

Provenance data from every build Every job on CRACI records the packages it fetched and its network trace. The public REST API returns the job's SBOMs, network trace and provenance. Build release job on CRACI Recorded packages fetched network trace Provenance build data, via the API Ask the API about any job Job → SBOM, trace, provenance Returned by the API Job Packages CycloneDX SBOM Network trace Recorded on every CRACI job, no extra step

Záznamy o zranitelnostech od triáže po opravené vydání

Monitorované SBOM se znovu vyhodnocují, jakmile jsou zveřejněny nové zranitelnosti. Bezpečnostní týmy provedou triáž každého nálezu a předají jej týmu, který odpovídá za opravu, a CRACI vede záznam až do opraveného vydání. Historie buildů ukazuje každý minulý build a jeho SBOM a také to, které buildy obsahovaly zranitelnou závislost, přímou nebo tranzitivní, takže víte, v jakém období jste byli vystaveni riziku.

Vulnerability tracking after release After a release ships, its SBOM stays monitored. When a new vulnerability is published, CRACI re-evaluates the monitored SBOMs, finds the affected releases, and the security team triages the finding and routes it to the team that owns the fix. The inventory view shows which software versions are deployed to which products. Release shipped SBOM monitored Later New advisory published Re-evaluated automatically Finding: critical, in 2 releases 1. Triage 2. Route to owner 3. Team fixes Policy gates can block a build on findings · VEX supported Inventory: deployed versions Product Version Web app v4.12.0 Mobile API v2.3.1

Policy gates, které zadrží známý problém

Policy gates mohou build zastavit v reálném čase na základě nálezů, včetně buildů obsahujících konkrétní CVE, a na základě licencí. Každý build navíc běží pod egress policy, která se vynucuje na runneru, ověřuje se před startem jobu a při selhání vše zablokuje (fail-closed), s upozorněními na porušení politiky.

Policy gates in CI Every build on CRACI records its SBOM, runs under an egress policy and records provenance data. Policy gates can block the build on findings or on a license, so issues are caught in CI before release. Pull request New dependencies, added by a developer or an AI agent Every change reaches the build the same way CRACI build SBOM recorded Egress enforced Provenance Every build, no extra step Policy gate Findings or licenses outside your policy Build blocked Or passes to release

Důkazy pro vaši technickou dokumentaci podle CRA

Podle Cyber Resilience Act připravuje technickou dokumentaci výrobce, který také provádí posouzení shody a vypracovává EU prohlášení o shodě. CRACI tyto kroky nedělá. Dodává důkazy, které vznikají při buildu: SBOM, záznamy o zranitelnostech a jejich nápravě a data o původu. CRACI také připravuje obsah oznámení o zranitelnostech podle CRA, která pak podáváte vy: včasné varování, oznámení a závěrečnou zprávu.

CRA obligations and the evidence for them The CRA obligations that touch the software supply chain, such as the SBOM, vulnerability handling, reporting, due diligence and technical documentation, are where CRACI provides evidence. The risk assessment and the conformity assessment stay with the manufacturer. Obligation CRACI evidence Software bill of materials Yes Vulnerability handling Yes Reporting exploited vulnerabilities Prepared for you Due diligence on components Yes Technical documentation Evidence and exports Risk assessment, secure design Yours Conformity assessment, CE Yours CRACI automates a significant part of the supply chain visibility and evidence your CRA process needs

Podívejte se, jaké důkazy vaše buildy vytvářejí

Rezervujte si demo a uvidíte export SBOM, API a sledování zranitelností v CRACI

Rezervujte si demo