Alternativer til FOSSA

Vi bygger CRACI, så tag det med i betragtning; vi beskriver hver mulighed ud fra dens egen dokumentation og siger det, når et andet værktøj passer bedre.

Hvorfor teams kigger ud over FOSSA

Licens-compliance er der, FOSSA startede, og det kan man mærke: fuldtekstregistrering af licenser, automatiske politikker, udtræk af copyright og attributionsnoter i SPDX, HTML og tekst. Oven i det genererer FOSSA SBOM'er i SPDX og CycloneDX, importerer SBOM'er fra leverandører med politikker for NTIA's og FDA's minimumselementer og deler dem via en SBOM Portal på Enterprise. FOSSA CLI integrerer med mere end 20 build-systemer, og der er en gratis plan.

Teams sammenligner alligevel alternativer, som regel af hensyn til omfang og behov:

• Dybere kodeinspektion. Snippet-, signatur- og binæranalyse i stor skala eller statisk analyse af din egen kode i den samme suite.
• En platform med sikkerheden først. Containerpolitik, reachability eller et registreringssystem for produktsikkerhed kan betyde mere for dig end licensarbejde.
• Hvor SBOM'en kommer fra. FOSSA CLI forespørger dit build-værktøj, når et fungerende build er tilgængeligt, og udleder fra kildekoden, når det ikke er. Nogle teams vil have en registrering af, hvad buildet hentede.
• Priser og hosting. Priser pr. projekt passer måske ikke, eller du vil måske have et gratis, selvhostet værktøj.

Hvad du skal kigge efter

• Licensdybde: deklarerede og ikke-deklarerede licenser, politikker, attributionsnoter.
• Hvordan SBOM'er produceres, og om værktøjet fortæller dig, når en er ufuldstændig.
• Modtagelse af SBOM'er fra leverandører, VEX og deling med kunder eller myndigheder.
• Snippet-, binær- eller firmware-analyse, hvis du leverer kode, du ikke har bygget fra kildekode.
• CI-dækning, hostingmuligheder, og hvordan prisen skalerer: pr. projekt, pr. udvikler eller efter tilbud.

Mulighederne

1. CRACI (vores produkt)

CRACI er en GitHub Actions-runner, der registrerer SBOM'en, mens buildet kører. En pakkebevidst proxy opfanger trafik til pakkekilder, inklusive pakker gendannet fra CI-caches og alle transitive afhængigheder, buildet brugte, og hver SBOM angiver sin fuldstændighed pr. job og pr. cache. CRACI håndhæver en egress-politik, der blokerer ved fejl, og genvurderer løbende overvågede SBOM'er. CRACI's inventaroversigt viser præcis, hvilke softwareversioner der er udrullet til hvilke produkter, globalt.

Licenserne kommer fra den samme registrering. Hver registreret pakke har sin deklarerede licens, så du kan se, hvilke afhængigheder der er under en kommerciel eller på anden måde restriktiv licens, før du leverer, og copyleft-licenser bliver fanget, før de ender i produktet. Regler i licenspolitikken kan blokere et build på baggrund af en licens.

Bedst til: teams på GitHub Actions, der skal vise, hvad hver release blev bygget af, med deklarerede licenser og licenspolitik i den samme registrering. Overvej, hvis: deklarerede licenser dækker dit licensarbejde. CRACI laver hverken snippet- eller binærscanning og understøtter kun GitHub Actions i dag, med GitLab CI og Jenkins på roadmappen. CRACI vs. FOSSA

2. Black Duck

Black Duck SCA kombinerer scanning af pakkehåndteringsværktøjer med signaturscanning, snippet-registrering og binæranalyse, så det finder open source, som ingen har deklareret. Dets KnowledgeBase sporer mere end 2.750 licenser, inklusive ikke-deklarerede licenser, fuldtekst og copyright-data. Black Duck Binary Analysis undersøger eksekverbare filer, containere og firmware uden kildekode, og Coverity tilføjer SAST på 22 sprog.

Bedst til: kodebaser med kopieret eller vendored open source og teams, der tjekker tredjepartsbinærfiler eller firmware. Overvej, hvis: tilbudsbaserede priser passer dig; der var ingen offentliggjorte priser pr. september 2026. CRACI vs. Black Duck

3. Sonatype

Sonatype Lifecycle er Sonatypes SCA- og politikprodukt. Det leveres med 18 standardpolitikker, med licenspolitikker, der spænder over mere end 2.000 licenser, og dets Advanced Binary Fingerprinting undersøger den færdige applikation, inklusive omdøbte eller ændrede komponenter. Repository Firewall stopper komponenter, der ikke består dine politikker, før de kommer ind i dine repositories, og SBOM Manager importerer og overvåger SBOM'er med et VEX-workflow.

Bedst til: organisationer, der vil have licens- og sikkerhedspolitik håndhævet ved pakke-repositoriet såvel som i applikationen. Overvej, hvis: du kører Nexus eller en anden repository manager. Nye kunder køber Sonatype Guide; Firewall Pro starter ved $4,800 om året (pr. september 2026). CRACI vs. Sonatype

4. Anchore Enterprise

Anchore Enterprise bygger på open source-værktøjerne Syft og Grype. Det opretter SBOM'er for containere, kildekode og filsystemer, importerer SBOM'er lavet andre steder, scanner gemte SBOM'er løbende igen og håndhæver politikpakker som FedRAMP og NIST. Det kan selvhostes, også air-gapped.

Bedst til: containertunge miljøer og offentlige miljøer. Overvej, hvis: licens-compliance ikke er dit hovedbehov; de Anchore-kilder, vi har brugt, fokuserer på sikkerhedspolitik. Prisen er efter tilbud. CRACI vs. Anchore

5. Cybeats SBOM Studio

SBOM Studio er et registreringssystem for SBOM'er fra dine produkter og leverandører. Det understøtter SPDX 2.2 til 3.0.1 og CycloneDX 1.2 til 1.7, validerer filer med en Quality Score, matcher komponenter løbende og tilføjer VEX og licensanalyse af OSS og COTS. Det deler SBOM'er med kunder, også via Transparency Exchange API.

Bedst til: produktsikkerhedsteams, der driver et SBOM-program på tværs af mange produkter og leverandører. Overvej, hvis: du har en separat måde at generere SBOM'er på; Cybeats henviser til leverandørerne på sin Marketplace. CRACI vs. Cybeats

6. Manifest

Manifest opretter, importerer, beriger og deler SBOM'er for dine produkter, dine leverandørers software og dine AI-modeller. Leverandører uploader via en portal, og Manifest kan generere en SBOM ud fra en kompileret binærfil, når en leverandør ikke kan levere en. Det understøtter SPDX, CycloneDX og VEX og omsætter fund til tickets og risikorapporter.

Bedst til: organisationer, hvis største eksponering er software, de køber. Overvej, hvis: licens-compliance er centralt; de Manifest-kilder, vi har brugt, fokuserer på sikkerhed og leverandørrisiko. CRACI vs. Manifest

7. Mend.io

Mend SCA registrerer licenser på direkte og transitive afhængigheder og håndhæver politikker, for eksempel blokering af AGPL i kommercielle produkter. Det tilføjer reachability via kaldgraf, registrering af ondsindede pakker, SBOM'er i SPDX og CycloneDX, modtagelse af tredjeparts-SBOM'er og VEX. Mend SAST dækker mere end 30 sprog, og Mend Renovate holder afhængigheder opdaterede.

Bedst til: teams, der vil have licenspolitik, sikkerhedsscanning og opdateringer af afhængigheder fra én leverandør. Overvej, hvis: prisen pr. udvikler passer; Mend AppSec er angivet til op til $1,000 pr. bidragende udvikler om året (pr. september 2026). CRACI vs. Mend.io

8. Dependency-Track (open source)

OWASP Dependency-Track er en gratis platform under Apache 2.0, der sporer komponenter på tværs af din portefølje, henter sårbarhedsdata fra kilder som NVD og GitHub Advisories og anvender sikkerheds-, licens- og driftspolitikker. Den både læser og producerer CycloneDX VEX.

Bedst til: teams, der vil have selvhostet SBOM-analyse og licenspolitik uden licensgebyr. Overvej, hvis: du er klar til at drive den og fodre den; den analyserer SBOM'er, du uploader, og genererer dem ikke. CRACI til Dependency-Track-brugere

9. ScanCode Toolkit (open source)

ScanCode Toolkit, fra projektet AboutCode, registrerer licenser, copyrights, pakkemanifester og direkte afhængigheder i kildekode og binærfiler. Det skriver resultater som JSON, YAML, HTML, CycloneDX eller SPDX. Toolkittet er under Apache-2.0.

Bedst til: teams, der vil have gratis registrering af licenser og copyright på filniveau, som de kan køre hvor som helst. Overvej, hvis: du kan bygge workflowet omkring det. Det er en scanner, så politikker, overvågning og rapportering er op til dig at tilføje.

10. OSS Review Toolkit (open source)

OSS Review Toolkit (ORT) er et Linux Foundation-projekt under Apache 2.0, der automatiserer open source-politik. Dets Analyzer finder afhængigheder på tværs af pakkehåndteringsværktøjer, Downloader henter deres kildekode, Scanner kører licens- og copyright-scannere, Advisor henter sikkerhedsadvisories, Evaluator anvender dine politikregler, og Reporter producerer rapporter, open source-noter og SBOM'er.

Bedst til: teams, der vil have en gratis, selvhostet pipeline til licens-compliance med policy as code. Overvej, hvis: du har udviklingstiden til at konfigurere og køre den.

Side om side

"Anchore" betyder Anchore Enterprise, og "Cybeats" betyder SBOM Studio. ScanCode og ORT er toolkits, du samler til dit eget workflow, så de er beskrevet ovenfor og udeladt af tabellen. "Ikke oplyst" betyder, at funktionen ikke er beskrevet i leverandørernes dokumentation, ikke at den mangler.

Hvornår du skal blive hos FOSSA

• Licens-compliance og attributionsnoter er din første prioritet, delt mellem jura og engineering.
• Du vil starte gratis og betale pr. projekt, efterhånden som du vokser.
• Du deler SBOM'er med partnere eller offentligheden via FOSSA's SBOM Portal.

Læs mere om at registrere SBOM'er ved kilden i SBOM-generering under buildet, CRA-dokumentation og priser.

Alternativer til FOSSA: ofte stillede spørgsmål

Korte svar på de spørgsmål, teams stiller, når de sammenligner

Hvad er det bedste alternativ til FOSSA?

Det afhænger af, hvad der mangler. Til snippet- og binærscanning kan du kigge på Black Duck. Til licenspolitik ved pakke-repositoriet kan du kigge på Sonatype. Til licenspolitik med sikkerhedsscanning og opdateringer af afhængigheder kan du kigge på Mend.io. Til SBOM-programmer på tværs af leverandører kan du kigge på Cybeats eller Manifest. Til gratis værktøjer kan du kigge på ScanCode Toolkit, ORT og Dependency-Track. Har du brug for en registrering af, hvad hvert build hentede, registrerer CRACI det fra selve buildet.

Findes der et gratis alternativ til FOSSA?

Ja. ScanCode Toolkit og OSS Review Toolkit (ORT) er gratis open source-licensscannere, og OWASP Dependency-Track er en gratis platform, der anvender licenspolitik på SBOM'er, du uploader. FOSSA har også selv en gratis plan. Gratis værktøjer overlader hosting, konfiguration og rapportering til dig.

Hvilke alternativer til FOSSA håndhæver licenspolitik?

FOSSA, Black Duck, Sonatype, Mend.io og Dependency-Track anvender alle licenspolitik, og ORT evaluerer licensregler, du selv skriver. Mend.io kan for eksempel blokere AGPL i kommercielle produkter. I CRACI har hver registreret pakke sin deklarerede licens, så copyleft-licenser bliver fanget, før de ender i produktet, og en regel i licenspolitikken kan blokere buildet.

Håndterer CRACI licens-compliance?

Ja, for deklarerede licenser. Hver pakke, CRACI registrerer fra buildet, har sin deklarerede licens, som eksporteres i SBOM'en, og regler i licenspolitikken kan blokere et build på baggrund af en licens. CRACI laver hverken snippet- eller binærscanning, så det finder ikke open source, der er kopieret ind i din kode uden en pakke.

Hvordan adskiller FOSSA sig fra Black Duck?

FOSSA startede med licens-compliance og tilføjer SBOM-administration, med en gratis plan og priser pr. projekt. Black Duck er en bredere AppSec-portefølje: SCA med signatur-, snippet- og binæranalyse, en KnowledgeBase med mere end 2.750 licenser og Coverity SAST, solgt efter tilbud. FOSSA tilbyder snippet- og binærscanning som tilkøb.