Alternativas a DefectDojo

Nosotros desarrollamos CRACI, así que téngalo en cuenta; describimos cada opción a partir de su propia documentación e indicamos cuándo encaja mejor otra herramienta.

Por qué los equipos buscan más allá de DefectDojo

DefectDojo es una plataforma de gestión de vulnerabilidades de código abierto y un proyecto OWASP Flagship, con una edición comercial de DefectDojo Inc., con sede en Austin (Texas). Su web enumera más de 500 herramientas compatibles, y deduplica sus resultados en una única cola con responsables, SLA y tickets de Jira. DefectDojo Pro añade Locations, un modelo de activos a nivel de componente que importa SBOM en CycloneDX y SPDX, y el PSIRT Advisory Engine, que coteja fuentes de avisos con esos datos de SBOM, agrupa los resultados en casos y publica avisos en PDF con su marca. La Community Edition es gratuita bajo la licencia BSD 3-Clause.

Aun así, los equipos comparan alternativas, normalmente por uno de estos motivos:

• La SBOM es el punto débil. DefectDojo no genera SBOM. El cotejo de avisos depende de los datos de SBOM que usted carga, y estos solo son tan completos como el generador que los produjo.
• Productos, no aplicaciones. Los fabricantes de dispositivos suelen necesitar análisis de binarios y firmware, o SBOM elaboradas a partir de lo que reciben de sus proveedores, más que una cola de hallazgos.
• Escala y automatización. Algunos programas grandes quieren una plataforma de gestión de la exposición con más correlación y agentes de IA sobre los hallazgos agregados.
• Alcance del código abierto. Las funciones de SBOM y el PSIRT Advisory Engine están en Pro, y DefectDojo afirma que el control de acceso basado en roles y el SSO no serán compatibles en la edición de código abierto v3.

Qué tener en cuenta

• De dónde sale la lista de componentes: generada por la herramienta, importada o registrada a partir del build.
• Si la herramienta le indica el grado de completitud de una SBOM.
• Si necesita una sola cola para todos los escáneres, o un registro de lo que contiene cada producto.
• Cómo se coteja un nuevo aviso con los productos y versiones a los que afecta, y con qué rapidez.
• Flujos de trabajo de VEX, clasificación y asignación de responsables, si su PSIRT trabaja hoy con ellos.
• Quién lo opera y cómo escalan los precios.

Las opciones

1. CRACI (nuestro producto)

CRACI no es un agregador de hallazgos. Es un runner compatible con GitHub Actions: usted cambia runs-on a craci, y un proxy que entiende de paquetes registra lo que descarga cada job de las fuentes de paquetes, incluidos los paquetes restaurados desde cachés de CI y las dependencias ocultas que ningún lockfile recoge. La SBOM, en CycloneDX o SPDX, sale de ese registro, con un estado de completitud por job y por caché.

CRACI reevalúa de forma continua las SBOM monitorizadas, agrega los hallazgos de todos los builds y repositorios, es compatible con VEX y permite a los equipos de seguridad clasificar los hallazgos y enviar cada uno al equipo responsable de la corrección. El historial de builds muestra qué builds anteriores contenían una dependencia vulnerable, dentro de su periodo de retención, y la vista de inventario muestra qué versiones de software están desplegadas en qué productos. Puede añadir SBOM de proveedores y, como CRACI ejecuta el job, aplica una política de egress que, si falla, bloquea (fail closed).

Ideal para: equipos cuya principal exposición son las dependencias del software que compilan en GitHub Actions, y que quieren el build, la SBOM y el seguimiento de vulnerabilidades en un solo lugar. Valórelo si: puede mantener en otra parte los hallazgos de SAST, DAST y nube; CRACI no importa los resultados de otros escáneres, no ofrece análisis de alcanzabilidad y hoy solo es compatible con GitHub Actions, con GitLab CI y Jenkins en la hoja de ruta. CRACI frente a DefectDojo

2. OWASP Dependency-Track

Dependency-Track es de código abierto con licencia Apache 2.0. Hace el seguimiento del uso de componentes en todas las versiones de todas las aplicaciones de una cartera, obtiene inteligencia de vulnerabilidades de fuentes como la NVD y GitHub Advisories, aplica políticas de seguridad, de licencias y operativas, y consume y genera VEX de CycloneDX. Los pipelines le suben las SBOM a través de su API; no las genera.

Ideal para: equipos que usan DefectDojo sobre todo para los hallazgos de dependencias y quieren una plataforma gratuita y autoalojada basada en SBOM. Valórelo si: se siente cómodo operándola y ya confía en las SBOM que entran. CRACI frente a Dependency-Track

3. ArmorCode

ArmorCode se define como una "plataforma de IA agéntica para la gestión unificada de la exposición". Unifica los hallazgos de cientos de herramientas de seguridad (su página de inicio habla de más de 400 integraciones), los correlaciona con activos, repositorios de código, recursos en la nube y responsables, y pone a trabajar en la clasificación y la corrección a agentes de IA como Vulnerability Researcher, Remediation Helper y Zero-Day Hunter. Su módulo de cadena de suministro consolida los componentes de sus SBOM. Entre los clientes que cita en su web están Visa, PayPal y Jaguar Land Rover.

Ideal para: grandes programas de seguridad para los que un agregador autoalojado se ha quedado pequeño y que quieren correlación y automatización comerciales para los hallazgos de aplicaciones, nube e infraestructura. Valórelo si: le sirve comprar mediante presupuesto; ArmorCode no publica precios.

4. Cybellum

Cybellum es una plataforma de seguridad de producto para fabricantes de dispositivos de los sectores de automoción, dispositivos médicos y fabricación industrial. Crea SBOM "combinando datos de escáneres de binarios, código fuente y fuentes externas de SBOM en formatos SPDX, CycloneDX o CSV de CPE", clasifica vulnerabilidades e incorpora hallazgos de modelos de amenazas, pruebas de penetración y pruebas de fuzzing. Su módulo de respuesta a incidentes monitoriza fuentes de vulnerabilidades, ofrece al equipo un banco de trabajo para investigaciones y tickets, y comparte el estado de las vulnerabilidades "mediante informes VEX/CSAF". Su módulo de cumplimiento cubre FDA PMA, ISO 21434 y el CRA.

Ideal para: PSIRT de fabricantes de dispositivos que quieren SBOM, gestión de vulnerabilidades e investigaciones en una plataforma de seguridad de producto. Valórelo si: sus productos son dispositivos conectados y no servicios web; Cybellum no publica precios.

5. Finite State

Finite State analiza firmware, binarios, código fuente y SBOM de proveedores, con "compatibilidad con más de 50 arquitecturas de juegos de instrucciones de binarios", y lo reúne todo en un único sistema de registro del software distribuido. Ordena los hallazgos por alcanzabilidad e inteligencia de explotación, registra las decisiones VEX, ofrece "monitorización poscomercialización con SBOM vivas" y vincula las evidencias a los controles del CRA y la FDA. Integra comprobaciones en GitHub Actions, GitLab CI y Jenkins.

Ideal para: fabricantes de dispositivos conectados que necesitan ver el interior del firmware de muchos proveedores, con menos ruido de hallazgos no alcanzables. Valórelo si: le sirve comprar mediante presupuesto; Finite State no publica precios. CRACI frente a Finite State

6. ONEKEY

ONEKEY es una plataforma de ciberseguridad y cumplimiento de producto para dispositivos conectados. Analiza firmware compilado "sin necesidad de código fuente ni acceso a la red", genera una SBOM a partir del binario, importa SBOM de proveedores, exporta CycloneDX y SPDX, y vuelve a analizar a diario el firmware subido. Su análisis de día cero busca problemas como credenciales incrustadas en el código, y su Compliance Wizard cubre el CRA, la IEC 62443-4-2, la ETSI EN 303 645 y la Radio Equipment Directive.

Ideal para: fabricantes de dispositivos que necesitan analizar firmware que no han compilado. Valórelo si: quiere hallazgos que vayan más allá de los CVE conocidos en la propia imagen. CRACI frente a ONEKEY

Lado a lado

"No indicado" significa que no lo encontramos en las páginas públicas del proveedor, no que falte. ONEKEY se describe más arriba y queda fuera de la tabla. Las celdas de DefectDojo marcadas con Pro se refieren a DefectDojo Pro, no a la Community Edition.

DefectDojo frente a Dependency-Track

Ambos son proyectos OWASP gratuitos y de código abierto, y a menudo se confunden. Parten de datos distintos:

• DefectDojo parte de los resultados de los escáneres. Importa hallazgos de herramientas SAST, DAST, SCA, de nube y de contenedores, los deduplica y hace el seguimiento de la corrección. La importación de SBOM y el cotejo de avisos están en Pro.
• Dependency-Track parte de las SBOM. Analiza las SBOM CycloneDX que usted sube frente a fuentes de vulnerabilidades y aplica políticas en toda una cartera.

Ninguno genera la SBOM ni registra lo que descargó su build. Ese es el hueco que cubre CRACI para el software que usted compila en GitHub Actions.

Para equipos de PSIRT

La primera pregunta en la mayoría de los casos de PSIRT es qué productos y versiones contienen el componente afectado. DefectDojo Pro, Cybellum y Finite State la responden a partir de los datos de SBOM y del análisis dentro de sus plataformas. CRACI la responde a partir de un registro de lo que descargó cada build, con el historial de builds y un inventario de qué está desplegado dónde. Lea qué hace un PSIRT, CRACI para equipos de PSIRT y la comparativa de herramientas de PSIRT.

Para los productos regulados, CRACI automatiza una parte importante de la visibilidad y las evidencias de la cadena de suministro de software que las empresas necesitan para su proceso más amplio de cumplimiento del CRA. Ninguna herramienta de esta página hace que un producto cumpla por sí sola.

Cuándo quedarse con DefectDojo

• Es la única cola donde confluyen los resultados de todos sus escáneres, y la deduplicación es en lo que se apoya.
• Quiere una plataforma gratuita y de código abierto que aloje usted mismo.
• Depende de su PSIRT Advisory Engine para las fuentes de avisos, los casos y los avisos en PDF junto a sus hallazgos.

Para saber más, consulte la generación de SBOM durante el build, la comparativa de herramientas de gestión de vulnerabilidades y las alternativas a Dependency-Track.

Alternativas a DefectDojo: preguntas frecuentes

Respuestas breves a las preguntas que se plantean los equipos al comparar

¿Qué es DefectDojo?

DefectDojo es una plataforma de gestión de vulnerabilidades de código abierto y un proyecto OWASP Flagship. Importa resultados de herramientas de seguridad como escáneres SAST, DAST, SCA, de nube y de contenedores, los deduplica en una única cola y hace el seguimiento de la corrección. La Community Edition es gratuita bajo la licencia BSD 3-Clause; DefectDojo Pro, de DefectDojo Inc., añade gestión de SBOM, un PSIRT Advisory Engine y despliegue alojado o autoalojado.

¿Es gratuito DefectDojo?

La Community Edition es gratuita y de código abierto. DefectDojo Pro en modalidad de pago por uso cuesta $100 al mes más $0.15 por hallazgo procesado, con descuentos por prepago anual (a octubre de 2026). La gestión de SBOM en Locations y el PSIRT Advisory Engine son funciones de Pro.

¿DefectDojo genera SBOM?

No. Su documentación indica que DefectDojo no genera SBOM por sí mismo. Pro importa los archivos CycloneDX y SPDX que usted sube y exporta CycloneDX o SPDX, además de los estados de los hallazgos como VEX de CycloneDX. La SBOM sigue procediendo de un generador en algún punto anterior de la cadena, o de un proveedor.

¿Qué es el PSIRT Advisory Engine de DefectDojo?

Una función de DefectDojo Pro lanzada en abril de 2026. Ingiere avisos de fuentes como CISA KEV, la NVD, la EUVD, Red Hat y Exploit-DB, los coteja con datos de SBOM o reglas de activos personalizadas, los prioriza según CVSS, EPSS y el estado en KEV, los agrupa en casos con responsables y publica avisos en PDF con su marca. La versión de septiembre de 2026 añadió la exportación de avisos en CSAF 2.0 y VEX y una interfaz de notificación según el artículo 14 del CRA.

¿Puede CRACI sustituir a DefectDojo?

Para las dependencias del software que usted compila en GitHub Actions, sí: CRACI ejecuta el build, registra la SBOM a partir de lo que descargó, la monitoriza en busca de nuevas vulnerabilidades y permite a los equipos de seguridad clasificar y derivar los hallazgos. No importa hallazgos de otros escáneres, así que si DefectDojo es donde confluyen sus resultados de SAST, DAST y nube, consérvelo para esa función.