CRACI vs Socket Security

Det korte svar

Socket Security er bedst kendt for at fange dårlige open source-pakker, før de når frem. Det analyserer pakkeadfærd (install-scripts, netværks- og filsystemadgang, obfuskeret kode, kendt malware, typosquats), fortæller dig det i pull requesten, og Socket Firewall kan blokere en ondsindet pakke ved installation.

CRACI er en CI-runner til GitHub Actions. Dine jobs kører på den, og mens de kører, registrerer den hver ekstern afhængighed, de henter, håndhæver en egress-politik for jobbet og bliver ved med at spore sårbarheder i det leverede. Socket spørger, om en pakke er sikker at bruge. CRACI registrerer, hvad et build brugte, og hvad det forbandt sig til, og omsætter det til release-dokumentation.

• Vælg Socket for at stoppe ondsindede og risikable pakker ved pull requesten og ved installation.
• Vælg CRACI for SBOM'er fra buildet, provenance-data, egress-kontrol af buildet og sårbarhedssporing af det, du har leveret, inklusive CRA-sårbarhedsunderretninger.
• De supplerer hinanden. Socket screener pakker på vej ind; CRACI registrerer og begrænser, hvad buildet gjorde med dem.

Overblik

Hvad Socket gør godt

Socket for GitHub holder øje med pull requests. Når en ændring tilføjer en afhængighed, analyserer Socket pakkens adfærd og kommenterer, hvis den er en sikkerhedsrisiko. Dets tjek dækker install-scripts, telemetri, native kode, kendt malware, typosquats, protestware, obfuskeret kode og brug af privilegerede API'er såsom shell-, netværks- og filsystemadgang. Det er en anden slags signal end et CVE-opslag: Det kan markere en pakke, der er ondsindet, men endnu ikke har nogen advisory.

Socket Firewall fungerer som en wrapper omkring en pakkehåndteringskommando (sfw npm install) eller som en proxy mellem pakkehåndteringer og registries. Den blokerer ondsindede pakker i enhver dybde, inklusive transitive. Den gratis version kræver ikke en API-nøgle og dækker npm, yarn, pnpm, pip, uv og cargo. Enterprise-versionen tilføjer konfigurerbare politikker, private registries og flere økosystemer, herunder Go, Maven, Gradle, RubyGems og NuGet.

Socket tilbyder også reachability-analyse på tre niveauer: dependency reachability, precomputed reachability fra Team-planen og full application reachability på Enterprise, som Socket siger kan markere op til 90 % af sårbarhedsalarmerne som irrelevante. Det finder manifester på tværs af JavaScript, Python, Java, Go, Ruby, Rust, .NET, PHP og Swift, og dets CLI kører i GitHub Actions, GitLab, Bitbucket, Jenkins og Azure DevOps. CRACI analyserer ikke pakkeadfærd, kommenterer ikke på pull requests, tilbyder ikke reachability-analyse og blokerer ikke individuelle pakker i dag.

Sockets priser, pr. september 2026

• Gratis: 1.000 scanninger om måneden, op til tre medlemmer, malwaredetektion og blokering.
• Team: $25 pr. udvikler pr. måned, minimum fem udviklere. Tilføjer prioritetsscoring, Slack-alarmer og precomputed reachability.
• Business: $50 pr. udvikler pr. måned, minimum 20 udviklere. Tilføjer SBOM-import og -eksport, compliance-integrationer, SSO og scanning af GitHub Actions.
• Enterprise: tilpasset pris. Tilføjer full application reachability og repository-integrationer til GitLab, Bitbucket og Azure DevOps.

Årlig fakturering sparer op til 20 %, og Socket siger, at det altid vil være gratis for open source-projekter. Socket prissætter pr. udvikler. CRACI tager kun betaling for build-minutter, $0.002 pr. vCPU-minut ($0.004 for en standard-runner med 2 vCPU), uden månedligt gebyr og uden betaling pr. SBOM; se CRACI's priser.

Hvor CRACI er anderledes

Buildet er sandhedskilden

Socket læser de manifest- og lockfiler, et projekt deklarerer. CRACI observerer buildet, mens det kører. En pakkebevidst proxy på runneren ser trafik til pakkekilder på tværs af npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder samt download-presets. Dokumentationen følger med CI-caches, så en pakke gendannet fra en cache stadig tælles med. Hver SBOM angiver sin fuldstændighed pr. job og pr. cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded.

En egress-politik for hele jobbet

Socket Firewall afgør, om en pakkeinstallation går igennem. CRACI's egress-politik afgør, hvad jobbet overhovedet kan nå: default deny eller default allow, med 24 indbyggede presets for softwarekilder og typede brugerdefinerede kilder til npm, PyPI, apt, apk, Go-proxyen, Nix, Cargo, OCI-registries og Git. Politikker valideres, før jobbet starter, og blokerer ved fejl (fail closed), og CRACI kan advare dig ved en overtrædelse. Et ondsindet install-script, der forsøger at ringe hjem, er lige så meget et netværksproblem som et pakkeproblem. De to kontroller dækker hver sin del af det.

Provenance og sårbarhedssporing

API'et returnerer SBOM'er, netværkstraces og provenance. CRACI signerer ikke provenance. CRACI samler sårbarheder på tværs af builds og repositories, bliver ved med at genvurdere overvågede SBOM'er og lader sikkerhedsteams triagere fund og sende dem til de teams, der ejer rettelsen. Leverandørers SBOM'er overvåges ved siden af dine egne builds, og SBOM'er eksporteres som CycloneDX eller SPDX.

Et overblik over, hvad der er udrullet hvor

CRACI's inventaroversigt viser præcis, hvilke softwareversioner der er udrullet til hvilke produkter, globalt. Når en ny sårbarhed dukker op, kan du se, hvilke produkter der kører den berørte version, i stedet for at stykke det sammen fra release notes og regneark.

En bemærkning om Sockets gratis SBOM-kommando

Socket CLI tilbyder socket manifest cdxgen, en gratis lokal SBOM-kommando, der ikke kræver en konto. Socket dokumenterer, at kommandoen sender kaldet videre til cdxgen med ændrede standardindstillinger: en pre-build-livscyklus, der springer installation af afhængigheder over, og JavaScript som standardprojekttype. De standardindstillinger afgør, hvad den kan finde, og på et repository uden lockfile, såsom expressjs/express, er der intet at resolve.

Det beskriver én gratis lokal wrapper, ikke Sockets kerneprodukt eller dets serverbaserede SBOM-eksport.

Hvilken passer

• Du vil stoppe ondsindede pakker ved døren: Socket, med dets pull request-tjek og Socket Firewall.
• Du vil have færre irrelevante CVE-alarmer via reachability: Socket, på Team eller Enterprise. CRACI tilbyder ikke reachability-analyse.
• Du har brug for dokumentation for, hvad der gik ind i hver release: CRACI registrerer det fra buildet og knytter det til artefaktet.
• Du vil have builds, der ikke kan nå uventede hosts: CRACI's egress-politik.
• Du leverer produkter under Cyber Resilience Act: CRACI sporer sårbarheder i det, du har leveret, og indsender CRA-sårbarhedsunderretningerne på dine vegne.
• Du kører GitLab, Jenkins eller Azure DevOps: Socket understøtter dem i dag. CRACI understøtter kun GitHub Actions i dag, med GitLab CI og Jenkins på roadmappen.

Til Cyber Resilience Act

At holde ondsindede og risikable komponenter ude af et produkt hjælper en producent med at opfylde sine sikkerhedsforpligtelser, og Socket er bygget til det. CRACI automatiserer en væsentlig del af den synlighed i og dokumentation for softwareforsyningskæden, som virksomheder har brug for i deres bredere CRA-compliance-proces: SBOM'er fra buildet med angivet fuldstændighed, provenance-data, løbende sårbarhedssporing og CRA-sårbarhedsunderretninger indsendt på dine vegne. Ingen af værktøjerne gør et produkt compliant alene. Se hvad CRA er og CRA-compliance.

Brug CRACI med Socket

CRACI erstatter runneren, ikke GitHub Actions: Kørsler vises stadig i GitHub, og Socket bliver ved med at tjekke dine pull requests. Socket screener pakker, før de tilføjes, og når de installeres; CRACI registrerer, hvad hvert build hentede, begrænser, hvad det kan forbinde sig til, og bliver ved med at spore sårbarheder i det leverede. Læs mere om SBOM-generering under buildet og sårbarhedssporing.

Overvejer du også andre værktøjer til pakkesikkerhed? Se Alternativer til Socket.

Socket Security og CRACI: almindelige spørgsmål

Priser, SBOM'er og hvor hvert værktøj passer ind

Hvad er Socket Security?

Socket (socket.dev) er en platform til forsyningskædesikkerhed for open source-afhængigheder. Den analyserer, hvad pakker faktisk gør, såsom install-scripts, netværks- og filsystemadgang, obfuskeret kode, kendt malware og typosquats, og markerer eller blokerer risikable pakker i pull requests, i CI og med Socket Firewall ved installation.

Er Socket Security gratis?

Socket har en gratis plan med 1.000 scanninger om måneden og op til tre medlemmer, og Socket siger, at det altid vil være gratis for open source-projekter. Socket Firewall har også en gratis version, der ikke kræver en API-nøgle og dækker npm, yarn, pnpm, pip, uv og cargo. Betalte planer tilføjer reachability, SBOM-eksport og flere integrationer.

Hvad koster Socket?

Pr. september 2026 angiver Sockets prisside Team til $25 pr. udvikler pr. måned (minimum fem udviklere), Business til $50 pr. udvikler pr. måned (minimum 20) og tilpasset Enterprise-pris, med op til 20 % rabat ved årlig fakturering. SBOM-eksport starter på Business, og repository-integrationer til GitLab, Bitbucket og Azure DevOps er på Enterprise.

Genererer Socket SBOM'er?

Ja. SBOM-import og -eksport er på Sockets Business-plan og opefter, og dets CycloneDX-eksport-API er mærket beta. Socket bygger SBOM'en ud fra de manifest- og lockfiler, det finder. CRACI registrerer SBOM'en, mens buildet kører, ud fra de pakker, jobbet faktisk hentede, og angiver, om hvert jobs registrering er komplet.

Opdager CRACI ondsindede pakker, som Socket gør?

Ikke som Socket gør. CRACI markerer en ondsindet release, når den har en offentliggjort CVE, ligesom enhver anden sårbarhed, men det analyserer ikke pakkeadfærd og scorer ikke pakker, så en ny ondsindet pakke forbliver umarkeret, indtil der findes en advisory. Det styrer, hvad et build kan forbinde sig til, med en egress-politik på runner-niveau, der blokerer ved fejl (fail closed), registrerer hver pakke, buildet hentede, og bliver ved med at genvurdere det leverede mod sårbarhedsdata. Blokeringslister for pakker i hele organisationen er på roadmappen.

Er CRACI et alternativ til Socket?

Ikke til at screene pakker, før de tilføjes: Det er Sockets kerneopgave, og det gør CRACI ikke. CRACI er valget, når du har brug for dokumentation for, hvad der gik ind i hver release: SBOM'er fra buildet, provenance-data, en egress-politik for buildet, løbende sårbarhedssporing og CRA-sårbarhedsunderretninger. Teams, der er bekymrede for ondsindede pakker, kan køre Socket på pull requests og bygge på CRACI.

Hvilke CI-systemer understøtter Socket og CRACI?

Sockets CLI kører i GitHub Actions, GitLab, Bitbucket, Jenkins og Azure DevOps. CRACI er en runner til GitHub Actions i dag, med GitLab CI og Jenkins på roadmappen.