CRACI vs. FOSSA

Die kurze Antwort

Die Stärken von FOSSA sind Open-Source-Lizenz-Compliance und das Management des SBOM-Lebenszyklus: SBOMs für Anwendungen erzeugen, SBOMs von Dritten importieren, sie auf Schwachstellen überwachen und mit Kunden und Behörden teilen. CRACI ist ein GitHub-Actions-Runner, der die Abhängigkeiten aufzeichnet, die jeder Job tatsächlich geladen hat, und aus dieser Aufzeichnung die SBOM erzeugt, mit einem Vollständigkeitsstatus.

FOSSA verwaltet die SBOMs, die Sie ihm geben. CRACI erzeugt eine aus dem Build und überwacht sie weiter, sodass für Ihre eigene Software CI, SBOM und Schwachstellenverfolgung an einem Ort liegen. Wo Lizenz-Compliance das Hauptanliegen ist, liegt FOSSA weiterhin vorn.

Auf einen Blick

Was FOSSA gut kann

• Lizenz-Compliance. Hier hat FOSSA angefangen, und das merkt man. Es erkennt Lizenzen anhand des Volltexts, wendet Policies automatisch an, extrahiert Copyright-Angaben und erzeugt Attribution-Hinweise in SPDX, HTML und Text. Rechts- und Entwicklungsteams können mit denselben Daten arbeiten.
• SBOM-Lebenszyklus. FOSSA „produces and consumes SBOMs“. Es erzeugt SBOMs in SPDX und CycloneDX, optional mit VDR- oder VEX-Aussagen, und importiert vorhandene SBOMs, um „analyze dependencies you don't build yourself“. SBOM-Policies können bei importierten Dateien die Mindestelemente von NTIA und FDA verlangen.
• Verteilung. In Enterprise teilt das SBOM Portal SBOM-Daten mit Partnern oder öffentlich, sodass Sie keine Dateien per E-Mail an Kunden schicken müssen.
• Breites Scanning. Die FOSSA CLI integriert sich mit mehr als 20 Build-Systemen, und Container-Scanning ist enthalten. Snippet- und Binär-Scanning sind als Add-ons verfügbar.
• Ein kostenloser Einstieg. Der Free-Plan umfasst 5 Projekte und 5 importierte SBOMs. Business kostet $20 pro Projekt und Monat bei jährlicher Abrechnung, und Enterprise ist individuell (Stand September 2026).

Wenn Ihr Hauptproblem Lizenzrisiken sind oder die Verwaltung von SBOMs vieler Lieferanten, deckt FOSSA Bereiche ab, die CRACI nicht abdeckt. CRACI zeigt deklarierte Lizenz-Metadaten, nimmt sie in den SBOM-Export auf und setzt Lizenzrichtlinien durch.

Wo CRACI sich unterscheidet

Die SBOM stammt aus dem, was der Build getan hat

Die FOSSA CLI analysiert ein Projekt über die Integration mit seinem Build-Tool, wenn ein funktionierender Build verfügbar ist, und leitet Abhängigkeiten aus dem Quellcode ab, wenn nicht. Das ist ein solider Ansatz, und es bleibt eine Analyse des Projekts. CRACI führt stattdessen den Job aus. Sie ändern runs-on auf craci, und ein paketbewusster Proxy zeichnet während des Builds den Datenverkehr zu Paketquellen auf: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk und Git-Quellen, dazu Download-Presets. Die Abhängigkeitsnachweise reisen mit CI-Caches, sodass ein aus einem Cache wiederhergestelltes Paket weiterhin in der Aufzeichnung steht, einschließlich aller transitiven Abhängigkeiten, die der Build genutzt hat.

Die Methode ist wichtig, weil SBOM-Generatoren sich widersprechen, und zwar konstruktionsbedingt. Jeder entscheidet selbst, was als Komponente zählt und welchen Dateien er vertraut. Setzt man zwei davon auf ein Repository an, erhält man zwei überlappende, aber unterschiedliche Listen. Weder FOSSA noch CRACI lassen sich auf dieser Grundlage vergleichen, da CRACI Builds aufzeichnet und kein Verzeichnis scannen kann. Es geht um statische Analyse im Allgemeinen: Die Antwort hängt vom Tool, seinen Einstellungen und den vorhandenen Dateien ab.

Es sagt Ihnen, wann etwas unvollständig ist

Die SBOM-Policies von FOSSA prüfen, ob Pflichtfelder vorhanden sind. CRACI ergänzt ein anderes Signal: einen Vollständigkeitsstatus pro Job und pro Cache (Complete, Complete with connections, Incomplete, Unavailable oder Not recorded), der angibt, ob die Aufzeichnung selbst eine Lücke hatte. Wenn ein Auditor fragt, woher Sie wissen, dass ein Inventar vollständig ist, ist das die Antwort.

Kontrolle und Provenienz

Weil CRACI den Job ausführt, setzt es eine Netzwerk-Egress-Richtlinie durch: standardmäßig sperrend oder standardmäßig erlaubend, mit 24 integrierten Presets für Softwarequellen und typisierten eigenen Quellen, vor dem Start des Jobs validiert und im Zweifel blockierend (fail closed). Die API liefert SBOMs, Netzwerk-Traces und Provenienz.

Überwachung

CRACI bewertet überwachte SBOMs laufend neu. Der fossabot von FOSSA arbeitet an einem anderen Problem: Er prüft Abhängigkeits-Updates, auch solche von Dependabot oder Renovate, auf Breaking Changes und Auswirkungen.

Ein Inventar dessen, was wo im Einsatz ist

Die Inventaransicht von CRACI zeigt genau, welche Softwareversionen in welchen Produkten im Einsatz sind, weltweit. Wenn eine neue Schwachstelle bekannt wird, sehen Sie, welche Produkte die betroffene Version ausführen, statt es aus Release Notes und Tabellen zusammenzusuchen.

FOSSA durch CRACI ersetzen

Für die Software, die Sie selbst bauen, deckt CRACI ab, was die SBOM- und Schwachstellenfunktionen von FOSSA leisten, von der Quelle aus. Es führt Ihre GitHub-Actions-Jobs aus, zeichnet die SBOM jedes Builds auf, bewertet überwachte SBOMs laufend neu, wenn neue Schwachstellen veröffentlicht werden, führt Befunde über Builds und Repositories hinweg zusammen und lässt Sicherheitsteams sie sichten und jeden an das Team weiterleiten, das für die Behebung zuständig ist. SBOMs von Anbietern lassen sich ebenfalls hinzufügen, sodass zugekaufte Komponenten neben Ihren eigenen Builds überwacht werden. Sie müssen keinen separaten CLI-Schritt pflegen.

Seien Sie sich im Klaren darüber, was Sie aufgeben. Die Lizenz-Compliance von FOSSA ist ausgereift: Policies, Volltext-Lizenzerkennung, Extraktion von Copyright-Angaben und Attribution-Hinweise. CRACI exportiert die deklarierte Lizenz jeder Komponente und setzt Lizenzrichtlinien durch, einschließlich des Blockierens eines Builds wegen einer Lizenz; Erkennung und Attribution-Ausgabe von FOSSA gehen weiter. CRACI hat außerdem kein Snippet- oder Binär-Scanning und kein Portal zum Teilen von SBOMs und unterstützt heute nur GitHub Actions; GitLab CI und Jenkins sind auf der Roadmap. Wenn Lizenz-Compliance Ihr vorrangiges Anliegen ist, behalten Sie FOSSA.

Für den Cyber Resilience Act

FOSSA veröffentlicht CRA-Leitlinien. Seine Zusammenfassung der SBOM-Anforderung: Hersteller erstellen eine SBOM in einem gängigen, maschinenlesbaren Format, die „at the very least the top-level dependencies of the products“ abdeckt, und teilen sie als Teil der technischen Dokumentation mit den Marktüberwachungsbehörden. FOSSA positioniert Import, Erzeugung, Schwachstellenanalyse und sicheres Teilen mit Behörden als seine CRA-Hilfe.

Oberste Abhängigkeiten sind die Untergrenze, nicht das Ziel. Eine Schwachstelle in einem transitiven Paket steckt trotzdem in Ihrem Produkt. Die Meldepflichten des CRA gelten ab dem 11. September 2026, mit einer Frühwarnung binnen 24 Stunden bei einer aktiv ausgenutzten Schwachstelle, und seine Hauptbestimmungen gelten ab dem 11. Dezember 2027. CRACI zeichnet alle Abhängigkeiten auf, die jeder Build genutzt hat, liefert über seine API SBOMs, Netzwerk-Traces und Provenienz und exportiert SBOMs als CycloneDX oder SPDX, einschließlich Schwachstellen.

CRACI automatisiert einen wesentlichen Teil der Transparenz und Nachweise zur Software-Lieferkette, die Unternehmen für ihren umfassenderen CRA-Compliance-Prozess brauchen. Keines der beiden Produkte macht einen Hersteller für sich allein konform. Siehe was der CRA verlangt und CRA-Compliance mit CRACI.

CRACI und FOSSA: häufige Fragen

FOSSA ersetzen, Preise, SBOM-Formate und CI-Unterstützung

Ist CRACI eine FOSSA-Alternative?

Ja, für die SBOMs und die Schwachstellenüberwachung der Software, die Sie bauen. CRACI führt Ihre GitHub-Actions-Jobs aus, zeichnet die SBOM jedes Builds auf, bewertet überwachte SBOMs laufend neu und lässt Sicherheitsteams Befunde sichten und an das zuständige Team weiterleiten. Bei der Open-Source-Lizenz-Compliance liegt FOSSA weiterhin vorn. Wenn das Ihr vorrangiges Anliegen ist, behalten Sie FOSSA.

Ersetzt CRACI FOSSA oder ergänzt es FOSSA?

Für Ihre eigene Software ersetzt CRACI es: CI, SBOM und Schwachstellenverfolgung liegen in einem Produkt, ohne separaten CLI-Schritt, den Sie pflegen müssten. Sie geben die ausgereifte Lizenz-Compliance von FOSSA auf (Volltext-Lizenzerkennung, Extraktion von Copyright-Angaben und Attribution-Hinweise), seine Add-ons für Snippet- und Binär-Scanning und sein SBOM Portal.

Wie schneiden die Preise von CRACI im Vergleich zu FOSSA ab?

Stand September 2026 hat FOSSA einen Free-Plan für 5 Projekte und 5 importierte SBOMs, Business für $20 pro Projekt und Monat bei jährlicher Abrechnung und individuelle Enterprise-Preise. CRACI berechnet nur Build-Minuten: $0.002 pro vCPU-Minute ($0.004 für einen Standard-Runner mit 2 vCPU), sekundengenau abgerechnet, ohne Monatsgebühr und ohne Gebühr pro SBOM. Die aktuellen Konditionen finden Sie unter Preise.

Welche SBOM-Formate unterstützen FOSSA und CRACI?

Beide exportieren SPDX und CycloneDX. FOSSA kann seinen SBOMs VDR- oder VEX-Aussagen hinzufügen. CRACI exportiert die SBOM jedes Builds mit transitiven Abhängigkeiten und der deklarierten Lizenz jeder Komponente, gibt pro Job und pro Cache an, wie vollständig die Aufzeichnung war, und unterstützt VEX.

Kann CRACI Lieferanten-SBOMs wie FOSSA verfolgen?

Ja. Sie können SBOMs von Anbietern zu CRACI hinzufügen, und diese zugekauften Komponenten werden neben der Software überwacht, die Sie bauen. FOSSA importiert SPDX- und CycloneDX-Dateien und kann SBOM-Policies darauf anwenden, etwa die Mindestelemente von NTIA und FDA verlangen.

Welche CI-Systeme unterstützen FOSSA und CRACI?

Die FOSSA CLI läuft in Ihrem CI und integriert sich mit mehr als 20 Build-Systemen. CRACI ist heute ein Runner für GitHub Actions; weitere CI-Systeme sind auf der Roadmap, darunter GitLab CI und Jenkins.

Hilft CRACI beim Cyber Resilience Act?

Ja. CRACI zeichnet alle Abhängigkeiten auf, die jeder Build genutzt hat, nicht nur die obersten, liefert über seine API SBOMs, Netzwerk-Traces und Provenienz und übermittelt CRA-Schwachstellenmeldungen in Ihrem Namen. Es automatisiert einen wesentlichen Teil der Transparenz und Nachweise zur Lieferkette, die Ihr CRA-Prozess braucht; keines der beiden Produkte macht einen Hersteller für sich allein konform. Buchen Sie eine Demo, um die SBOM von CRACI mit der zu vergleichen, die Sie heute verwalten.