Alternativas a Anchore

Nosotros desarrollamos CRACI, así que téngalo en cuenta; describimos cada opción a partir de su propia documentación e indicamos cuándo encaja mejor otra herramienta.

Por qué los equipos buscan más allá de Anchore

Empecemos por los nombres, porque aquí importan. Anchore desarrolla dos herramientas de código abierto, Syft (generación de SBOM) y Grype (escaneo de vulnerabilidades), ambas con licencia Apache 2.0. Anchore Enterprise es la plataforma comercial independiente que «se basa en Syft y Grype de código abierto». Esta página trata de las alternativas a Anchore Enterprise.

Si ha llegado aquí por Anchore Engine, el antiguo servicio de código abierto: su README indica que no se mantiene desde 2023, y el repositorio se archivó el 24 de marzo de 2026. Anchore remite a sus usuarios a Syft y Grype, o a Anchore Enterprise.

Anchore Enterprise hace muchas cosas bien. Crea SBOM para contenedores, código fuente y sistemas de archivos, importa SBOM generadas en otros lugares, reescanea SBOM almacenadas sin el artefacto original y aplica paquetes de políticas para FedRAMP, NIST, CIS, PCI DSS y CMMC. Se ejecuta en su propio Kubernetes o Docker Compose, también en instalaciones air-gapped, y se integra con GitHub, GitLab, Jenkins, AWS CodeBuild y Azure Pipelines.

Aun así, los equipos comparan alternativas, normalmente por cuestiones de alcance y encaje:

• De dónde sale la SBOM. Las SBOM de Anchore describen lo que un escáner encuentra en una imagen o un directorio. Algunos equipos quieren un registro de lo que descargó el build.
• Otro centro de gravedad. El cumplimiento de licencias, la recopilación de SBOM de proveedores o compartir SBOM con clientes puede importarle más que las políticas de contenedores.
• Modelo operativo. Puede que quiera una plataforma de código abierto gratuita y autoalojada, o un servicio gestionado en lugar de uno que opere usted.
• Precios. Anchore Enterprise se presupuesta a petición (a septiembre de 2026). Algunos equipos prefieren un precio publicado.

Qué tener en cuenta

• Cómo se produce la SBOM: escaneada a partir de archivos, analizada desde el código fuente o registrada desde el build.
• Si la herramienta le avisa cuando una SBOM está incompleta, y no solo cuando tiene un formato incorrecto.
• Recepción de SBOM de proveedores, VEX y la posibilidad de compartirlas con clientes o autoridades.
• Política de licencias y atribución, si su equipo legal depende de ellas.
• Autoalojamiento, air-gap y los sistemas de CI que utiliza.

Las opciones

1. CRACI (nuestro producto)

CRACI es un runner de GitHub Actions que registra la SBOM mientras se ejecuta el build. Un proxy que entiende de paquetes captura el tráfico hacia las fuentes de paquetes, incluidos los paquetes restaurados desde cachés de CI, y cada SBOM lleva un estado de completitud por job y por caché. CRACI aplica una política de egress que, si falla, bloquea (fail closed), y reevalúa de forma continua las SBOM monitorizadas. Exporta CycloneDX y SPDX, que Anchore Enterprise puede importar. La vista de inventario de CRACI muestra exactamente qué versiones de software están desplegadas en qué productos, a nivel global.

Ideal para: equipos en GitHub Actions que necesitan demostrar a partir de qué se compiló cada versión. Valórelo si: puede prescindir de lo que CRACI no hace: escanear imágenes que usted no ha compilado, paquetes de políticas, autoalojamiento (los runners alojados por el cliente están en la hoja de ruta para Enterprise) y sistemas de CI distintos de GitHub Actions (GitLab CI y Jenkins están en la hoja de ruta). CRACI frente a Anchore

2. FOSSA

FOSSA empezó con el cumplimiento de licencias: detección de licencias en texto completo, políticas automáticas, extracción de copyright y avisos de atribución. Genera SBOM SPDX y CycloneDX, opcionalmente con VDR o VEX, importa SBOM de proveedores con políticas para los elementos mínimos de la NTIA y la FDA, y comparte SBOM a través de un SBOM Portal en Enterprise.

Ideal para: equipos en los que el riesgo de licencias está al nivel de la seguridad. Valórelo si: le encaja el precio por proyecto; hay un plan gratuito para 5 proyectos, y Business cuesta $20 por proyecto al mes, con facturación anual (a septiembre de 2026). CRACI frente a FOSSA

3. Cybeats SBOM Studio

SBOM Studio se presenta como «el sistema de registro de SBOM». Almacena SBOM de sus productos y proveedores en SPDX 2.2 a 3.0.1 y CycloneDX 1.2 a 1.7, las comprueba con un Quality Score antes de importarlas, coteja cada componente de forma continua y genera VEX. Comparte SBOM con clientes, también a través de la Transparency Exchange API.

Ideal para: equipos de seguridad de producto en sectores como ICS y OT, dispositivos médicos, telecomunicaciones y automoción. Valórelo si: tiene otra forma de generar SBOM; para eso, Cybeats remite a proveedores de su Marketplace. CRACI frente a Cybeats

4. Manifest

Manifest crea, importa, enriquece y comparte SBOM de sus propios productos, del software de sus proveedores y de sus modelos de IA. Los proveedores suben SBOM a través de un portal y, cuando no pueden facilitar una, Manifest puede generarla a partir del binario compilado. Los hallazgos se convierten en tickets, comunicaciones con proveedores e informes de riesgo.

Ideal para: organizaciones cuya principal exposición es el software que compran. Valórelo si: quiere otro método de generación; su GitHub Action ejecuta Syft por defecto, de forma muy parecida a Anchore. CRACI frente a Manifest

5. Dependency-Track (código abierto)

OWASP Dependency-Track es una plataforma gratuita con licencia Apache 2.0 que hace el seguimiento de los componentes en cada versión de cada aplicación de su cartera. Obtiene datos de vulnerabilidades de fuentes como la NVD y GitHub Advisories, tiene un motor de políticas para reglas de seguridad, licencias y operación, y consume y genera CycloneDX VEX.

Ideal para: equipos que quieren una plataforma de SBOM transparente y autoalojada sin coste de licencia. Valórelo si: está dispuesto a operarla y a alimentarla; analiza las SBOM que usted sube y no las genera. CRACI para usuarios de Dependency-Track

6. Trivy (código abierto)

Trivy es un escáner gratuito con licencia Apache-2.0 para imágenes de contenedor, sistemas de archivos, repositorios, imágenes de máquinas virtuales y Kubernetes. Encuentra vulnerabilidades, configuraciones incorrectas, secretos y licencias, genera SBOM CycloneDX y SPDX, y escanea SBOM existentes con trivy sbom.

Ideal para: equipos que quieren escaneo gratuito de imágenes y SBOM, además de comprobaciones de IaC y secretos, en un solo binario. Valórelo si: puede prescindir de una plataforma central; el almacenamiento de resultados, las políticas y la monitorización corren por su cuenta. CRACI frente a Trivy

7. Snyk Container

Snyk Container escanea imágenes de contenedor y las dependencias de código abierto que contienen, recomienda imágenes base con menos vulnerabilidades y monitoriza cargas de trabajo de Kubernetes. Se conecta a registros como Docker Hub, Amazon ECR, Azure ACR, Google GCR, Artifactory, Harbor y Red Hat Quay, y prioriza los hallazgos según la madurez del exploit y la configuración de la carga de trabajo. Se sitúa junto al escaneo de código, dependencias e IaC de Snyk.

Ideal para: desarrolladores que quieren recomendaciones de actualización de imágenes base en la misma herramienta que sus otros escaneos. Valórelo si: le encaja el precio por desarrollador; Snyk tiene un plan Free, Team desde $25 al mes y un plan Enterprise (a septiembre de 2026). CRACI frente a Snyk

8. Docker Scout

Docker Scout analiza imágenes de contenedor: compila una SBOM de sus componentes y la coteja con una base de datos de vulnerabilidades que se actualiza de forma continua. Se usa desde Docker Hub, la Docker CLI y el Docker Scout Dashboard, y se integra con GitHub Actions, GitLab, Azure DevOps Pipelines, CircleCI y Jenkins y con registros OCI como Amazon ECR, Azure Container Registry, JFrog Artifactory, Harbor y Sonatype Nexus.

Ideal para: equipos que ya compilan y almacenan imágenes con las herramientas de Docker. Valórelo si: el plan se ajusta a su número de repositorios; a septiembre de 2026, el plan gratuito Personal incluye 1 repositorio con Scout habilitado y Pro incluye 2, mientras que Team, a $15 por usuario al mes con facturación anual, y Business incluyen repositorios ilimitados.

9. Chainguard

Chainguard toma el otro camino hacia menos hallazgos en las imágenes: compila software de código abierto desde el código fuente y lo distribuye reforzado. Sus imágenes de contenedor, que denomina zero-CVE, incluyen una SBOM firmada y procedencia SLSA, y para los clientes con pedido se compromete a corregir las CVE críticas en 7 días y las de otras severidades en 14 días desde la publicación de un parche aplicable. También ofrece bibliotecas de lenguajes recompiladas, imágenes de VM y GitHub Actions reforzadas.

Ideal para: equipos que prefieren partir de imágenes base limpias antes que priorizar resultados de escaneo. Valórelo si: puede migrar a sus imágenes; cinco son gratuitas, y el precio del catálogo parte de $19K para un equipo de 10 (a septiembre de 2026). CRACI y Chainguard

Lado a lado

«Anchore» significa Anchore Enterprise. «No indicado» significa que la funcionalidad no se describe en la documentación de los proveedores, no que falte. La tabla cubre las plataformas de SBOM; Snyk Container, Docker Scout y Chainguard se describen más arriba.

Una nota sobre las SBOM escaneadas

La mayoría de las opciones de esta página generan SBOM escaneando, o dependen de un escáner previo. Un escáner informa de lo que declaran los archivos que tiene delante. Un repositorio que no incluye lockfile no le da nada que resolver, y qué catalogadores se ejecutan es una configuración y no una propiedad del proyecto, así que la misma herramienta en la misma versión puede devolver listas muy distintas a partir del mismo checkout. Eso dice más del escaneo como método que de cualquier herramienta concreta. CRACI no se puede comparar de esta forma en absoluto, porque registra builds y no puede escanear un directorio.

Cuándo quedarse con Anchore

• Escanea muchas imágenes de contenedor en varios sistemas de CI, no solo en GitHub Actions.
• Necesita paquetes de políticas predefinidos para FedRAMP, NIST, CIS, PCI DSS o CMMC.
• Debe autoalojar, incluso en una red air-gapped.
• Ya utiliza Syft y Grype y quiere la capa empresarial de los mismos mantenedores. Si solo necesita generación y cotejo, las herramientas gratuitas pueden bastar por sí solas: CRACI frente a Syft y Grype.

Para saber más sobre cómo registrar SBOM en el origen, consulte generación de SBOM durante el build y cumplimiento del CRA.

Alternativas a Anchore: preguntas frecuentes

Respuestas breves a las preguntas que se plantean los equipos al comparar

¿Para qué se usa Anchore?

Anchore se usa para generar SBOM y escanearlas en busca de vulnerabilidades, sobre todo en imágenes de contenedor. Sus herramientas gratuitas de código abierto son Syft, que genera SBOM, y Grype, que busca vulnerabilidades. Anchore Enterprise se basa en ellas para gestionar SBOM en toda una cartera, reescanear SBOM almacenadas y aplicar paquetes de políticas para FedRAMP, NIST, CIS, PCI DSS y CMMC, de forma autoalojada o air-gapped.

¿Es Grype gratuito?

Sí. Grype es de código abierto con licencia Apache-2.0, igual que Syft. Anchore Enterprise, la plataforma comercial basada en ellos, se vende mediante presupuesto (a septiembre de 2026).

¿Qué es Anchore Grype?

Grype es el escáner de vulnerabilidades de código abierto de Anchore para imágenes de contenedor, sistemas de archivos y SBOM. Cubre paquetes del sistema operativo y lenguajes como Java, JavaScript, Python, .NET, Go, PHP, Ruby y Rust, prioriza con datos de EPSS y KEV, y admite OpenVEX para filtrar resultados. Se combina con Syft, que genera la SBOM.

¿Se sigue manteniendo Anchore Engine?

No. Su README indica que desde 2023 Anchore Engine ya no se mantiene y que no se publicarán nuevas versiones, y el repositorio de GitHub se archivó el 24 de marzo de 2026. Anchore remite a sus usuarios a Syft y Grype, o a Anchore Enterprise si quieren una plataforma con soporte.

¿Qué buenas herramientas de seguridad de contenedores hay además de Anchore?

Para escanear imágenes, Trivy y Grype son gratuitos, y Snyk Container y Docker Scout son comerciales con niveles gratuitos. Para partir de imágenes con menos CVE, Chainguard ofrece imágenes reforzadas. Para registrar lo que incorporaron sus propios builds, imágenes base incluidas, CRACI registra la SBOM mientras se ejecuta un build de GitHub Actions.