CRACI vs. Renovate

Die kurze Antwort

Renovate ist für Abhängigkeitshygiene gebaut: Es findet Paketdateien, öffnet Update-Pull-Requests und lässt Sie das Rauschen mit Zeitplänen, Gruppierung und Automerge steuern. CRACI ist ein GitHub-Actions-Runner, der aufzeichnet, was jeder Build geladen hat, und diese SBOMs auf neue Schwachstellen überwacht. Renovate fragt: „Gibt es eine neuere Version?“ CRACI fragt: „Ist etwas in dem, was wir gebaut und ausgeliefert haben, verwundbar, und wo?“ Beide konkurrieren nicht um dieselbe Aufgabe und laufen nebeneinander: Renovate öffnet die Update-Pull-Requests, CRACI sagt Ihnen, welche Builds einen brauchen.

Was Renovate gut kann

Die Dokumentation von Renovate beginnt mit „Automated dependency updates. Multi-platform and multi-language.“ Beide Hälften stimmen. Es „looks for references to dependencies (both public and private)“ in Ihrem Repository und öffnet, wenn neuere Versionen existieren, Pull Requests, die diese Abhängigkeiten und ihre Lockfiles aktualisieren.

• Breite. Über 90 Paketmanager und Repositories auf GitHub, GitLab, Bitbucket, Azure DevOps, Gitea und Forgejo, wobei AWS CodeCommit, Gerrit und SCM-Manager als experimentell aufgeführt sind.
• Kontrolle. Teilbare Konfigurations-Presets, packageRules für Verhalten pro Paket, Zeitpläne, die begrenzen, wann Pull Requests erscheinen, und Automerge für die Updates, denen Sie vertrauen. Die Dokumentation merkt an, dass die meisten Teams Major-Updates einem Menschen überlassen.
• Sichtbarkeit. Ein Dependency-Dashboard-Issue, in config:recommended standardmäßig aktiv, und Informationen zur Entscheidung, welche Updates Sie übernehmen: Alter, Verbreitung, Erfolgsquoten und Merge Confidence.
• Reichweite. Custom Managers verarbeiten proprietäre Dateiformate und gängige Formate, die Renovate noch nicht unterstützt.
• Wahl des Betriebsmodells. Open Source unter AGPL-3.0 und von Mend gepflegt. Sie können die CLI oder das Docker-Image selbst ausführen, die kostenlose Cloud-App Mend Renovate Community auf GitHub.com und Bitbucket Cloud nutzen oder die selbst gehostete Community-Edition oder die kostenpflichtige Enterprise-Edition betreiben.

Wie Renovate mit Schwachstellen umgeht

Renovate hat zwei Wege zu Sicherheits-Fixes. Mit vulnerabilityAlerts liest es die Schwachstellenwarnungen von GitHub, wofür der Abhängigkeitsgraph und Dependabot-Warnungen aktiviert sein müssen. Diese Pull Requests „skip the line“, ignorieren also Zeitpläne und stündliche Limits, und wechseln standardmäßig zur niedrigsten behobenen Version. Mit osvVulnerabilityAlerts prüft es Abhängigkeiten anhand der OSV-Datenbank, die es herunterlädt und offline abfragt. Die Dokumentation benennt die Grenze genau: „You will only get OSV-based vulnerability alerts for direct dependencies“, und das für eine festgelegte Liste von Datenquellen.

CRACI ersetzt nichts davon und öffnet keine Pull Requests. Wenn Ihr Ziel ist, Hunderte von Repositories mit minimalem Aufwand aktuell zu halten, ist Renovate genau dafür gebaut.

Worin sich CRACI unterscheidet

Es setzt beim Build an, nicht bei den Paketdateien

Renovate arbeitet mit dem, was Ihr Repository deklariert. Ein Build tut oft mehr: Er löst Versionen bei der Installation auf, stellt Pakete aus Caches wieder her und lädt Tools, Betriebssystempakete und Images herunter, die kein Manifest aufführt. expressjs/express 5.2.1 zeigt die Lücke am deutlichsten: Es committet kein Lockfile, ein Generator, der auf einen sauberen Checkout angesetzt wird, hat also nichts aufzulösen und meldet keine einzige seiner npm-Abhängigkeiten, wie gut das Tool auch arbeitet. CRACI lässt sich so nicht vergleichen, weil es Builds aufzeichnet, statt Verzeichnisse zu scannen. Die Dateien in einem Repository und die Pakete in einem Build sind nicht dieselbe Liste.

CRACI führt den Build aus. Sie ändern runs-on auf craci, und ein paketbewusster Proxy zeichnet auf, was jeder Job von npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk und Git-Quellen lädt, dazu Download-Presets. Jeder Job und jeder Cache erhält einen Vollständigkeitsstatus: Complete, Complete with connections, Incomplete, Unavailable oder Not recorded.

Überwachung des Ausgelieferten

CRACI führt Schwachstellen über Builds und Repositories hinweg zusammen und bewertet überwachte SBOMs laufend neu, sobald neue Advisories erscheinen. Wird eines bekannt, sehen Sie, welche Builds und Repositories das betroffene Paket tatsächlich genutzt haben, einschließlich Paketen, die kein Manifest aufführt, und Sicherheitsteams können den Befund sichten und an das Team weiterleiten, das für die Behebung zuständig ist. Auslöser ist eine Schwachstelle in etwas, das ein Build tatsächlich genutzt hat, nicht das Erscheinen einer neuen Version.

Mehr als Überwachung

Weil CRACI der Runner ist, setzt es außerdem eine Egress-Richtlinie pro Job durch, standardmäßig sperrend oder erlaubend, vor dem Start des Jobs validiert und im Zweifel blockierend (fail closed). Es liefert über seine API SBOMs, Netzwerk-Traces und Provenienz und exportiert SBOMs als CycloneDX oder SPDX. Nichts davon ist Aufgabe von Renovate.

Ein Inventar dessen, was wo im Einsatz ist

Die Inventaransicht von CRACI zeigt genau, welche Softwareversionen in welchen Produkten im Einsatz sind, weltweit. Wenn eine neue Schwachstelle bekannt wird, sehen Sie, welche Produkte die betroffene Version ausführen, statt es aus Release Notes und Tabellen zusammenzusuchen.

Beide nebeneinander betreiben

• Renovate hält jede Abhängigkeit nach Zeitplan aktuell, über all Ihre Plattformen und Paketmanager hinweg, mit Automerge für risikoarme Updates.
• CRACI zeichnet jeden GitHub-Actions-Build auf, überwacht das Ausgelieferte und sagt Ihnen, welche Builds und Teams eine neue Schwachstelle betrifft, sodass Sie wissen, welche Update-Pull-Requests Sie zuerst mergen sollten.

Es gibt nichts zu migrieren. Renovate liest weiter Ihre Repositories, und Ihre Workflows laufen weiter in GitHub Actions, nur auf einem anderen Runner.

Für den Cyber Resilience Act

Der CRA erwartet von Herstellern, dass sie wissen, was in jedem Release steckt, und dessen Schwachstellen behandeln. Renovate hilft, indem es Abhängigkeiten gepatcht und aktuell hält. CRACI zeichnet die SBOM jedes Builds auf, überwacht sie auf neue Schwachstellen und bewahrt die Nachweise auf. Es automatisiert einen erheblichen Teil der Transparenz und der Nachweise zur Software-Lieferkette, die Unternehmen für ihren umfassenderen CRA-Compliance-Prozess brauchen. Siehe Was der CRA ist und Schwachstellenverfolgung.