123% flere rapporterede CVE'er pr. dag i 2026 end sidste år.

SBOM-eksport og CRA-dokumentation fra hvert build

SBOM'er registreret under buildet, registreringen af buildet via API'et og sårbarhedsregistreringer helt frem til den rettede release: det bevismateriale, din tekniske dokumentation bygger på

Build-time SBOM'er i CycloneDX eller SPDX

CRACI registrerer SBOM'en, mens hvert build kører på dets runner, så den viser de pakker, jobbet faktisk hentede, inklusive pakker gendannet fra CI-caches. Hver SBOM eksporteres som CycloneDX eller SPDX med transitive afhængigheder, de sårbarheder, der er fundet i komponenterne, og hver komponents deklarerede licens. Hvert jobs SBOM har også en fuldstændighedsstatus.

An SBOM recorded during the build Packages from npm, PyPI, Cargo, Go, OCI registries and the CI cache pass through a package-aware proxy on the CRACI runner. The job's SBOM lists what was fetched, states its completeness and exports as CycloneDX or SPDX. Package sources npm PyPI Cargo · Go OCI registries CI cache restore Package- aware proxy on the runner Job SBOM express 5.2.1 requests 2.32.3 serde 1.0.219 + transitive deps Declared license on every component Complete Completeness states per job and cache: Complete, Complete with connections, Incomplete, Unavailable, Not recorded CycloneDX · SPDX

SBOM'er, netværkstraces og provenance via API'et

Det offentlige REST API returnerer et jobs SBOM, dets netværkstrace og provenance-data, så registreringen af buildet kan flyde ind i din egen dokumentation og dine egne værktøjer. SBOM-API'et returnerer CycloneDX 1.7 JSON.

Provenance data from every build Every job on CRACI records the packages it fetched and its network trace. The public REST API returns the job's SBOMs, network trace and provenance. Build release job on CRACI Recorded packages fetched network trace Provenance build data, via the API Ask the API about any job Job → SBOM, trace, provenance Returned by the API Job Packages CycloneDX SBOM Network trace Recorded on every CRACI job, no extra step

Sårbarhedsregistreringer fra triage til en rettet release

Overvågede SBOM'er genvurderes, efterhånden som nye sårbarheder offentliggøres. Sikkerhedsteams triagerer hvert fund og sender det til det team, der ejer rettelsen, og CRACI fører registreringen helt frem til den rettede release. Build-historikken viser hvert tidligere build og dets SBOM, og hvilke builds der indeholdt den sårbare afhængighed, direkte eller transitiv, så du ved, i hvilken periode du var eksponeret.

Vulnerability tracking after release After a release ships, its SBOM stays monitored. When a new vulnerability is published, CRACI re-evaluates the monitored SBOMs, finds the affected releases, and the security team triages the finding and routes it to the team that owns the fix. The inventory view shows which software versions are deployed to which products. Release shipped SBOM monitored Later New advisory published Re-evaluated automatically Finding: critical, in 2 releases 1. Triage 2. Route to owner 3. Team fixes Policy gates can block a build on findings · VEX supported Inventory: deployed versions Product Version Web app v4.12.0 Mobile API v2.3.1

Policy gates, der holder et kendt problem ude

Policy gates kan stoppe et build i realtid på grund af fund, herunder builds, der indeholder en bestemt CVE, og på grund af licenser. Hvert build kører også under en egress-politik, der håndhæves på runneren, valideres, før jobbet starter, og blokerer ved fejl, med alarmer ved brud på politikken.

Policy gates in CI Every build on CRACI records its SBOM, runs under an egress policy and records provenance data. Policy gates can block the build on findings or on a license, so issues are caught in CI before release. Pull request New dependencies, added by a developer or an AI agent Every change reaches the build the same way CRACI build SBOM recorded Egress enforced Provenance Every build, no extra step Policy gate Findings or licenses outside your policy Build blocked Or passes to release

Bevismateriale til din tekniske CRA-dokumentation

Under Cyber Resilience Act udarbejder producenten den tekniske dokumentation, gennemfører overensstemmelsesvurderingen og udsteder EU-overensstemmelseserklæringen. Det gør CRACI ikke. CRACI leverer den dokumentation, der kommer ud af buildet: SBOM'er, registreringer af sårbarheder og afhjælpning samt provenance-data. CRACI indsender også CRA-sårbarhedsunderretningerne på dine vegne: den tidlige varsling, underretningen og den endelige rapport.

CRA obligations and the evidence for them The CRA obligations that touch the software supply chain, such as the SBOM, vulnerability handling, reporting, due diligence and technical documentation, are where CRACI provides evidence. The risk assessment and the conformity assessment stay with the manufacturer. Obligation CRACI evidence Software bill of materials Yes Vulnerability handling Yes Reporting exploited vulnerabilities Submitted for you Due diligence on components Yes Technical documentation Evidence and exports Risk assessment, secure design Yours Conformity assessment, CE Yours CRACI automates a significant part of the supply chain visibility and evidence your CRA process needs

Se den dokumentation, dine builds producerer

Book en demo, og se SBOM-eksport, API'et og sårbarhedsopfølgning i CRACI

Book en demo