CRACI vs FOSSA

Det korte svar

FOSSA er stærkest på licens-compliance for open source og administration af SBOM-livscyklussen: generering af applikations-SBOM'er, import af tredjeparts-SBOM'er, overvågning af dem for sårbarheder og deling af dem med kunder og myndigheder. CRACI er en GitHub Actions-runner, der registrerer de afhængigheder, hvert job faktisk hentede, og producerer SBOM'en ud fra den registrering, med en fuldstændighedsstatus.

FOSSA administrerer de SBOM'er, du giver det. CRACI producerer en ud fra buildet og bliver ved med at overvåge den, så for din egen software ligger CI, SBOM og sårbarhedssporing ét sted. Hvor licens-compliance er hovedbekymringen, er FOSSA stadig foran.

Overblik

Hvad FOSSA gør godt

• Licens-compliance. Det er her, FOSSA startede, og det kan ses. Det finder licenser ud fra fuld tekst, anvender politikker automatisk, trækker copyright-oplysninger ud og genererer attributionsnoter i SPDX, HTML og tekst. Juridiske teams og engineering-teams kan arbejde ud fra de samme data.
• SBOM-livscyklus. FOSSA "produces and consumes SBOMs." Det genererer SBOM'er i SPDX og CycloneDX, eventuelt med VDR- eller VEX-erklæringer, og importerer eksisterende SBOM'er for at "analyze dependencies you don't build yourself." SBOM-politikker kan kræve NTIA's og FDA's minimumselementer i importerede filer.
• Distribution. På Enterprise deler SBOM Portal SBOM-data med partnere eller offentligt, så du ikke skal sende filer til kunder pr. e-mail.
• Bred scanning. FOSSA CLI integrerer med mere end 20 build-systemer, og containerscanning er inkluderet. Snippet-scanning og binærscanning fås som tilvalg.
• En gratis vej ind. Free-planen dækker 5 projekter og 5 importerede SBOM'er. Business koster $20 pr. projekt pr. måned, faktureret årligt, og Enterprise har tilpassede priser (pr. september 2026).

Er dit hovedproblem licensrisiko eller administration af SBOM'er, der kommer fra mange leverandører, dækker FOSSA områder, CRACI ikke dækker. CRACI viser deklarerede licensmetadata, inkluderer dem i SBOM-eksporten og håndhæver licenspolitik.

Hvor CRACI er anderledes

SBOM'en kommer fra det, buildet gjorde

FOSSA CLI analyserer et projekt ved at integrere med dets build-værktøj, når et fungerende build er tilgængeligt, og ved at udlede afhængigheder af kildekoden, når det ikke er. Det er en fornuftig tilgang, og det er stadig analyse af projektet. CRACI kører i stedet jobbet. Du ændrer runs-on til craci, og en pakkebevidst proxy registrerer trafikken til pakkekilderne under buildet: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder samt download-presets. Dokumentationen for afhængighederne følger med CI-caches, så en pakke gendannet fra en cache stadig er med i registreringen, inklusive alle transitive afhængigheder, buildet brugte.

Metoden betyder noget, fordi SBOM-generatorer er uenige, og de er uenige med vilje. Hver af dem afgør selv, hvad der tæller som en komponent, og hvilke filer den stoler på, så to af dem, der peges mod ét repository, giver to overlappende, men forskellige lister. Hverken FOSSA eller CRACI kan sammenlignes på de vilkår, da CRACI registrerer builds og ikke kan scanne en mappe. Pointen handler om statisk analyse generelt: Svaret afhænger af værktøjet, dets indstillinger og de filer, der findes.

Det siger til, når den er ufuldstændig

FOSSA's SBOM-politikker tjekker, at påkrævede felter er til stede. CRACI tilføjer et andet signal: en fuldstændighedsstatus pr. job og pr. cache (Complete, Complete with connections, Incomplete, Unavailable eller Not recorded), der siger, om selve registreringen havde et hul. Når en revisor spørger, hvordan du ved, at en fortegnelse er komplet, er det svaret.

Kontrol og provenance

Fordi CRACI kører jobbet, håndhæver det en egress-politik for netværket: default deny eller default allow, med 24 indbyggede presets for softwarekilder og typede brugerdefinerede kilder. Politikken valideres, før jobbet starter, og blokerer ved fejl (fail closed). API'et returnerer SBOM'er, netværkstraces og provenance.

Overvågning

CRACI genvurderer overvågede SBOM'er løbende. FOSSA's fossabot arbejder på et andet problem: Den gennemgår afhængighedsopdateringer, også dem fra Dependabot eller Renovate, for breaking changes og konsekvenser.

Et inventar over, hvad der er udrullet hvor

CRACI's inventaroversigt viser præcis, hvilke softwareversioner der er udrullet til hvilke produkter, globalt. Når en ny sårbarhed dukker op, kan du se, hvilke produkter der kører den berørte version, i stedet for at stykke det sammen ud fra release notes og regneark.

Sådan erstatter du FOSSA med CRACI

For den software, du selv bygger, dækker CRACI det, FOSSA's SBOM- og sårbarhedsfunktioner gør, fra kilden. Det kører dine GitHub Actions-jobs, registrerer SBOM'en for hvert build, bliver ved med at genvurdere overvågede SBOM'er, når nye sårbarheder offentliggøres, samler fund på tværs af builds og repositories og lader sikkerhedsteams triagere dem og sende hvert enkelt videre til det team, der ejer rettelsen. Leverandør-SBOM'er kan også tilføjes, så indkøbte komponenter overvåges sammen med dine egne builds. Der er intet separat CLI-trin at vedligeholde.

Vær klar over, hvad du giver afkald på. FOSSA's licens-compliance er moden: politikker, fuldtekstdetektering af licenser, udtræk af copyright og attributionsnoter. CRACI eksporterer hver komponents deklarerede licens og håndhæver licenspolitik, inklusive blokering af et build på grund af en licens; FOSSA's detektering og attributionsoutput går længere. CRACI har heller ingen snippet- eller binærscanning og ingen portal til deling af SBOM'er, og det understøtter kun GitHub Actions i dag, med GitLab CI og Jenkins på roadmappen. Er licens-compliance din største bekymring, så behold FOSSA.

Til Cyber Resilience Act

FOSSA offentliggør vejledning om CRA. Dets sammenfatning af SBOM-kravet: Producenter udarbejder en SBOM i et almindeligt brugt, maskinlæsbart format, der dækker "at the very least the top-level dependencies of the products," og deler den med markedsovervågningsmyndigheder som en del af den tekniske dokumentation. FOSSA positionerer import, generering, sårbarhedsanalyse og sikker deling med myndigheder som sin CRA-hjælp.

Afhængigheder på øverste niveau er et minimum, ikke målet. En sårbarhed i en transitiv pakke er stadig i dit produkt. CRA's rapporteringsforpligtelser gælder fra 11. september 2026, med en tidlig varsling inden for 24 timer ved en aktivt udnyttet sårbarhed, og dens hovedbestemmelser gælder fra 11. december 2027. CRACI registrerer hele det sæt af afhængigheder, hvert build brugte, returnerer SBOM'er, netværkstraces og provenance via sit API og eksporterer SBOM'er som CycloneDX eller SPDX, inklusive sårbarheder.

CRACI automatiserer en væsentlig del af den synlighed i og dokumentation for softwareforsyningskæden, som virksomheder har brug for i deres bredere CRA-compliance-proces. Intet af produkterne gør i sig selv en producent compliant. Se hvad CRA kræver og CRA-compliance med CRACI.

CRACI og FOSSA: ofte stillede spørgsmål

Erstatning af FOSSA, priser, SBOM-formater og CI-understøttelse

Er CRACI et alternativ til FOSSA?

Ja, for SBOM'er og sårbarhedsovervågning af den software, du bygger. CRACI kører dine GitHub Actions-jobs, registrerer SBOM'en for hvert build, bliver ved med at genvurdere overvågede SBOM'er og lader sikkerhedsteams triagere fund og sende dem videre til det ansvarlige team. FOSSA er stadig foran på licens-compliance for open source, så hvis det er din største bekymring, så behold FOSSA.

Erstatter CRACI FOSSA, eller arbejder de sammen?

For din egen software erstatter CRACI det: CI, SBOM og sårbarhedssporing ligger i ét produkt, uden et separat CLI-trin at vedligeholde. Det, du giver afkald på, er FOSSA's modne licens-compliance (fuldtekstdetektering af licenser, udtræk af copyright og attributionsnoter), dets tilvalg til snippet- og binærscanning og dets SBOM Portal.

Hvordan er CRACI's priser sammenlignet med FOSSA's?

Pr. september 2026 har FOSSA en Free-plan, der dækker 5 projekter og 5 importerede SBOM'er, Business til $20 pr. projekt pr. måned faktureret årligt og tilpassede priser på Enterprise. CRACI tager kun betaling for build-minutter: $0.002 pr. vCPU-minut ($0.004 for en standardrunner med 2 vCPU), målt pr. sekund, uden månedligt gebyr og uden betaling pr. SBOM. Se priser for de aktuelle vilkår.

Hvilke SBOM-formater understøtter FOSSA og CRACI?

Begge eksporterer SPDX og CycloneDX. FOSSA kan tilføje VDR- eller VEX-erklæringer til sine SBOM'er. CRACI eksporterer hvert builds SBOM med transitive afhængigheder og hver komponents deklarerede licens, angiver, hvor komplet registreringen var pr. job og pr. cache, og understøtter VEX.

Kan CRACI spore leverandørers SBOM'er ligesom FOSSA?

Ja. Du kan tilføje leverandør-SBOM'er til CRACI, og de indkøbte komponenter overvåges sammen med den software, du bygger. FOSSA importerer SPDX- og CycloneDX-filer og kan anvende SBOM-politikker på dem, for eksempel krav om NTIA's og FDA's minimumselementer.

Hvilke CI-systemer understøtter FOSSA og CRACI?

FOSSA CLI kører inde i din CI og integrerer med mere end 20 build-systemer. CRACI er en runner til GitHub Actions i dag; andre CI-systemer er på roadmappen, blandt dem GitLab CI og Jenkins.

Hjælper CRACI med Cyber Resilience Act?

Ja. CRACI registrerer hele det sæt af afhængigheder, hvert build brugte, ikke kun afhængigheder på øverste niveau, returnerer SBOM'er, netværkstraces og provenance via sit API og indsender CRA-sårbarhedsmeddelelser på dine vegne. Det automatiserer en væsentlig del af den synlighed i og dokumentation for forsyningskæden, som din CRA-proces har brug for; intet af produkterne gør i sig selv en producent compliant. Book en demo for at sammenligne CRACI's SBOM med den, du administrerer i dag.