CRACI vs. Socket Security

Die kurze Antwort

Socket Security ist vor allem dafür bekannt, schädliche Open-Source-Pakete abzufangen, bevor sie ankommen. Es analysiert das Paketverhalten (Install-Skripte, Netzwerk- und Dateisystemzugriffe, verschleierten Code, bekannte Malware, Typosquats), meldet es im Pull Request, und Socket Firewall kann ein bösartiges Paket bei der Installation blockieren.

CRACI ist ein CI-Runner für GitHub Actions. Ihre Jobs laufen darauf, und währenddessen zeichnet es jede externe Abhängigkeit auf, die sie laden, setzt eine Egress-Richtlinie für den Job durch und verfolgt weiter Schwachstellen im Ausgelieferten. Socket fragt, ob ein Paket sicher nutzbar ist. CRACI zeichnet auf, was ein Build genutzt hat und wohin er sich verbunden hat, und macht daraus Release-Nachweise.

• Wählen Sie Socket, um bösartige und riskante Pakete im Pull Request und bei der Installation zu stoppen.
• Wählen Sie CRACI für Build-Time-SBOMs, Provenienzdaten, Egress-Kontrolle im Build und die Schwachstellenverfolgung des Ausgelieferten, einschließlich CRA-Schwachstellenmeldungen.
• Beide ergänzen sich. Socket prüft Pakete auf dem Weg hinein; CRACI zeichnet auf und begrenzt, was der Build mit ihnen tut.

Auf einen Blick

Was Socket gut kann

Socket for GitHub beobachtet Pull Requests. Fügt eine Änderung eine Abhängigkeit hinzu, analysiert Socket das Verhalten des Pakets und kommentiert, wenn es ein Sicherheitsrisiko ist. Die Prüfungen umfassen Install-Skripte, Telemetrie, nativen Code, bekannte Malware, Typosquats, Protestware, verschleierten Code und die Nutzung privilegierter APIs wie Shell-, Netzwerk- und Dateisystemzugriffe. Das ist ein anderes Signal als ein CVE-Abgleich: Es kann ein Paket kennzeichnen, das bösartig ist, aber noch kein Advisory hat.

Socket Firewall arbeitet als Wrapper um einen Paketmanager-Befehl (sfw npm install) oder als Proxy zwischen Paketmanagern und Registries. Sie blockiert bösartige Pakete in jeder Tiefe, auch transitive. Die kostenlose Version braucht keinen API-Schlüssel und deckt npm, yarn, pnpm, pip, uv und cargo ab. Die Enterprise-Version ergänzt konfigurierbare Policies, private Registries und weitere Ökosysteme, darunter Go, Maven, Gradle, RubyGems und NuGet.

Socket bietet außerdem Erreichbarkeitsanalyse in drei Stufen: Erreichbarkeit auf Abhängigkeitsebene, vorberechnete Erreichbarkeit ab dem Team-Plan und vollständige Anwendungs-Erreichbarkeit bei Enterprise, die laut Socket bis zu 90 % der Schwachstellenwarnungen als irrelevant kennzeichnen kann. Es erkennt Manifeste für JavaScript, Python, Java, Go, Ruby, Rust, .NET, PHP und Swift, und seine CLI läuft in GitHub Actions, GitLab, Bitbucket, Jenkins und Azure DevOps. CRACI analysiert kein Paketverhalten, kommentiert keine Pull Requests, bietet keine Erreichbarkeitsanalyse und blockiert heute keine einzelnen Pakete.

Socket-Preise, Stand September 2026

• Free: 1.000 Scans pro Monat, bis zu drei Mitglieder, Malware-Erkennung und -Blockierung.
• Team: $25 pro Entwickler und Monat, mindestens fünf Entwickler. Ergänzt Priority Scoring, Slack-Warnungen und vorberechnete Erreichbarkeit.
• Business: $50 pro Entwickler und Monat, mindestens 20 Entwickler. Ergänzt SBOM-Import und -Export, Compliance-Integrationen, SSO und das Scannen von GitHub Actions.
• Enterprise: individuelle Preise. Ergänzt vollständige Anwendungs-Erreichbarkeit und Repository-Integrationen für GitLab, Bitbucket und Azure DevOps.

Jährliche Abrechnung spart bis zu 20 %, und laut Socket bleibt es für Open-Source-Projekte immer kostenlos. Socket rechnet pro Entwickler ab. CRACI berechnet nur Build-Minuten, $0.002 pro vCPU-Minute ($0.004 für einen Standard-Runner mit 2 vCPU), ohne Monatsgebühr und ohne Gebühr pro SBOM; siehe CRACI-Preise.

Worin sich CRACI unterscheidet

Der Build ist die Quelle der Wahrheit

Socket liest die Manifeste und Lockfiles, die ein Projekt deklariert. CRACI beobachtet den Build während des Laufs. Ein paketbewusster Proxy auf dem Runner sieht den Datenverkehr zu Paketquellen über npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk und Git-Quellen hinweg, dazu Download-Presets. Die Nachweise reisen mit CI-Caches, sodass auch ein aus einem Cache wiederhergestelltes Paket erfasst bleibt. Jede SBOM gibt ihre Vollständigkeit pro Job und pro Cache an: Complete, Complete with connections, Incomplete, Unavailable oder Not recorded.

Eine Egress-Richtlinie für den gesamten Job

Socket Firewall entscheidet, ob eine Paketinstallation durchgeht. Die Egress-Richtlinie von CRACI entscheidet, was der Job überhaupt erreichen kann: standardmäßig sperrend oder erlaubend, mit 24 integrierten Presets für Softwarequellen und typisierten eigenen Quellen für npm, PyPI, apt, apk, den Go-Proxy, Nix, Cargo, OCI-Registries und Git. Richtlinien werden vor dem Start des Jobs validiert und blockieren im Zweifel (fail closed), und CRACI kann Sie bei einem Verstoß warnen. Ein bösartiges Install-Skript, das nach Hause telefonieren will, ist ebenso ein Netzwerk- wie ein Paketproblem. Beide Kontrollen decken unterschiedliche Teile davon ab.

Provenienz und Schwachstellenverfolgung

Die API liefert SBOMs, Netzwerk-Traces und Provenienz. CRACI signiert Provenienz nicht. CRACI führt Schwachstellen über Builds und Repositories hinweg zusammen, bewertet überwachte SBOMs laufend neu und lässt Sicherheitsteams Befunde sichten und an die Teams weiterleiten, die für die Behebung zuständig sind. Hersteller-SBOMs werden neben Ihren eigenen Builds überwacht, und SBOMs lassen sich als CycloneDX oder SPDX exportieren.

Ein Inventar dessen, was wo im Einsatz ist

Die Inventaransicht von CRACI zeigt genau, welche Softwareversionen in welchen Produkten im Einsatz sind, weltweit. Wenn eine neue Schwachstelle bekannt wird, sehen Sie, welche Produkte die betroffene Version ausführen, statt es aus Release Notes und Tabellen zusammenzusuchen.

Eine Anmerkung zum kostenlosen SBOM-Befehl von Socket

Die Socket CLI bietet socket manifest cdxgen, einen kostenlosen lokalen SBOM-Befehl, der kein Konto braucht. Socket dokumentiert, dass dieser Befehl den Aufruf mit geänderten Standardwerten an cdxgen weiterleitet: einem Pre-Build-Lifecycle, der die Installation von Abhängigkeiten überspringt, und JavaScript als Standard-Projekttyp. Diese Standardwerte entscheiden, was er finden kann, und bei einem Repository ohne Lockfile wie expressjs/express gibt es dort nichts aufzulösen.

Das beschreibt einen kostenlosen lokalen Wrapper, nicht das Kernprodukt von Socket oder seinen serverseitigen SBOM-Export.

Was passt

• Sie wollen bösartige Pakete an der Tür stoppen: Socket, mit seinen Pull-Request-Prüfungen und Socket Firewall.
• Sie wollen durch Erreichbarkeit weniger irrelevante CVE-Warnungen: Socket, bei Team oder Enterprise. CRACI bietet keine Erreichbarkeitsanalyse.
• Sie brauchen Nachweise darüber, was in jedes Release eingeflossen ist: CRACI zeichnet es aus dem Build auf und verknüpft es mit dem Artefakt.
• Sie wollen Builds, die keine unerwarteten Hosts erreichen können: die Egress-Richtlinie von CRACI.
• Sie liefern Produkte unter dem Cyber Resilience Act aus: CRACI verfolgt Schwachstellen im Ausgelieferten und reicht die CRA-Schwachstellenmeldungen in Ihrem Namen ein.
• Sie nutzen GitLab, Jenkins oder Azure DevOps: Socket unterstützt sie heute. CRACI unterstützt heute nur GitHub Actions; GitLab CI und Jenkins sind auf der Roadmap.

Für den Cyber Resilience Act

Bösartige und riskante Komponenten aus einem Produkt herauszuhalten hilft einem Hersteller, seine Sicherheitspflichten zu erfüllen, und genau dafür ist Socket gebaut. CRACI automatisiert einen erheblichen Teil der Transparenz und der Nachweise zur Software-Lieferkette, die Unternehmen für ihren umfassenderen CRA-Compliance-Prozess brauchen: Build-Time-SBOMs mit angegebener Vollständigkeit, Provenienzdaten, kontinuierliche Schwachstellenverfolgung und in Ihrem Namen eingereichte CRA-Schwachstellenmeldungen. Keines der Tools macht ein Produkt allein konform. Siehe Was ist der CRA? und CRA-Compliance.

CRACI zusammen mit Socket nutzen

CRACI ersetzt den Runner, nicht GitHub Actions: Läufe erscheinen weiterhin in GitHub, und Socket prüft weiter Ihre Pull Requests. Socket prüft Pakete, bevor sie hinzugefügt werden und während sie installiert werden; CRACI zeichnet auf, was jeder Build geladen hat, begrenzt, wohin er sich verbinden kann, und verfolgt weiter Schwachstellen im Ausgelieferten. Erfahren Sie mehr über SBOM-Generierung während des Builds und Schwachstellenverfolgung.

Sie wägen auch andere Tools für Paketsicherheit ab? Siehe Socket-Alternativen.

Socket Security und CRACI: häufige Fragen

Preise, SBOMs und wo jedes Tool passt

Was ist Socket Security?

Socket (socket.dev) ist eine Plattform für Software-Lieferkettensicherheit bei Open-Source-Abhängigkeiten. Sie analysiert, was Pakete tatsächlich tun, etwa Install-Skripte, Netzwerk- und Dateisystemzugriffe, verschleierten Code, bekannte Malware und Typosquats, und kennzeichnet oder blockiert riskante Pakete in Pull Requests, im CI und mit Socket Firewall bei der Installation.

Ist Socket Security kostenlos?

Socket hat einen kostenlosen Plan mit 1.000 Scans pro Monat und bis zu drei Mitgliedern, und laut Socket bleibt es für Open-Source-Projekte immer kostenlos. Socket Firewall gibt es außerdem in einer kostenlosen Version, die keinen API-Schlüssel braucht und npm, yarn, pnpm, pip, uv und cargo abdeckt. Kostenpflichtige Pläne ergänzen Erreichbarkeit, SBOM-Export und weitere Integrationen.

Was kostet Socket?

Stand September 2026 nennt die Preisseite von Socket Team zu $25 pro Entwickler und Monat (mindestens fünf Entwickler), Business zu $50 pro Entwickler und Monat (mindestens 20) und individuelle Enterprise-Preise, mit bis zu 20 % Rabatt bei jährlicher Abrechnung. SBOM-Export beginnt bei Business, und Repository-Integrationen für GitLab, Bitbucket und Azure DevOps gehören zu Enterprise.

Erzeugt Socket SBOMs?

Ja. SBOM-Import und -Export gehören zum Business-Plan und höher, und die CycloneDX-Export-API ist als Beta gekennzeichnet. Socket erstellt die SBOM aus den erkannten Manifesten und Lockfiles. CRACI zeichnet die SBOM während des Builds auf, aus den Paketen, die der Job tatsächlich geladen hat, und gibt an, ob die Aufzeichnung jedes Jobs vollständig ist.

Erkennt CRACI bösartige Pakete wie Socket?

Nicht wie Socket. CRACI kennzeichnet ein bösartiges Release, sobald es eine veröffentlichte CVE hat, wie jede andere Schwachstelle, analysiert aber weder das Paketverhalten noch bewertet es Pakete, ein neues bösartiges Paket bleibt also ungekennzeichnet, bis ein Advisory existiert. CRACI kontrolliert mit einer Egress-Richtlinie auf Runner-Ebene, die im Zweifel blockiert (fail closed), wohin sich ein Build verbinden kann, zeichnet jedes geladene Paket auf und bewertet das Ausgelieferte laufend neu anhand von Schwachstellendaten. Organisationsweite Paket-Blocklists sind auf der Roadmap.

Ist CRACI eine Alternative zu Socket?

Nicht für die Prüfung von Paketen, bevor sie hinzugefügt werden: Das ist die Kernaufgabe von Socket, und CRACI tut das nicht. CRACI ist die richtige Wahl, wenn Sie Nachweise darüber brauchen, was in jedes Release eingeflossen ist: Build-Time-SBOMs, Provenienzdaten, eine Egress-Richtlinie für den Build, kontinuierliche Schwachstellenverfolgung und CRA-Schwachstellenmeldungen. Teams, die sich um bösartige Pakete sorgen, können Socket auf Pull Requests einsetzen und auf CRACI bauen.

Welche CI-Systeme unterstützen Socket und CRACI?

Die CLI von Socket läuft in GitHub Actions, GitLab, Bitbucket, Jenkins und Azure DevOps. CRACI ist heute ein Runner für GitHub Actions; GitLab CI und Jenkins sind auf der Roadmap.