Alternativas a FOSSA

Nosotros desarrollamos CRACI, así que téngalo en cuenta; describimos cada opción a partir de su propia documentación e indicamos cuándo encaja mejor otra herramienta.

Por qué los equipos buscan más allá de FOSSA

El cumplimiento de licencias es donde empezó FOSSA, y se nota: detección de licencias a texto completo, políticas automáticas, extracción de copyright y avisos de atribución en SPDX, HTML y texto. Además, FOSSA genera SBOM en SPDX y CycloneDX, importa SBOM de proveedores con políticas de elementos mínimos de la NTIA y la FDA, y las comparte mediante un SBOM Portal en Enterprise. La CLI de FOSSA se integra con más de 20 sistemas de build, y hay un plan gratuito.

Aun así, los equipos comparan alternativas, normalmente por cuestiones de alcance y encaje:

• Inspección de código más profunda. Análisis de fragmentos, firmas y binarios a escala, o análisis estático de su propio código en la misma suite.
• Una plataforma centrada en la seguridad. Las políticas de contenedores, la alcanzabilidad o un sistema de registro de seguridad de producto pueden importarle más que el trabajo con licencias.
• De dónde sale la SBOM. La CLI de FOSSA consulta su herramienta de build cuando hay un build que funciona, y deduce a partir del código fuente cuando no lo hay. Algunos equipos quieren un registro de lo que descargó el build.
• Precios y alojamiento. Puede que el precio por proyecto no le encaje, o que quiera una herramienta gratuita y autoalojada.

Qué tener en cuenta

• Profundidad en licencias: licencias declaradas y no declaradas, políticas, avisos de atribución.
• Cómo se producen las SBOM, y si la herramienta le avisa cuando una está incompleta.
• Recepción de SBOM de proveedores, VEX y compartición con clientes o autoridades.
• Análisis de fragmentos, binarios o firmware si distribuye código que no compiló desde el código fuente.
• Cobertura de CI, opciones de alojamiento y cómo escala el precio: por proyecto, por desarrollador o mediante presupuesto.

Las opciones

1. CRACI (nuestro producto)

CRACI es un runner de GitHub Actions que registra la SBOM mientras se ejecuta el build. Un proxy que entiende de paquetes captura el tráfico hacia las fuentes de paquetes, incluidos los paquetes restaurados desde cachés de CI y todas las dependencias transitivas que utilizó el build, y cada SBOM indica su completitud por job y por caché. CRACI aplica una política de egress que, si falla, bloquea, y reevalúa de forma continua las SBOM monitorizadas. La vista de inventario de CRACI muestra exactamente qué versiones de software están desplegadas en qué productos, a nivel global.

Las licencias proceden del mismo registro. Cada paquete registrado lleva su licencia declarada, de modo que puede ver qué dependencias tienen una licencia comercial o restrictiva por otros motivos antes de distribuir, y las licencias copyleft se detectan antes de que acaben en el producto. Las reglas de política de licencias pueden bloquear un build por una licencia.

Ideal para: equipos en GitHub Actions que necesitan demostrar a partir de qué se compiló cada versión, con licencias declaradas y política de licencias en el mismo registro. Valórelo si: las licencias declaradas cubren su trabajo con licencias. CRACI no hace escaneo de fragmentos ni de binarios, y hoy solo es compatible con GitHub Actions, con GitLab CI y Jenkins en la hoja de ruta. CRACI frente a FOSSA

2. Black Duck

Black Duck SCA combina el escaneo de gestores de paquetes con el escaneo de firmas, la detección de fragmentos y el análisis de binarios, de modo que encuentra código abierto que nadie declaró. Su KnowledgeBase sigue más de 2.750 licencias, incluidas licencias no declaradas, textos completos y datos de copyright. Black Duck Binary Analysis examina ejecutables, contenedores y firmware sin código fuente, y Coverity añade SAST para 22 lenguajes.

Ideal para: bases de código con código abierto copiado o incluido en el proyecto, y equipos que comprueban binarios o firmware de terceros. Valórelo si: le encaja un precio mediante presupuesto; no había precios publicados a septiembre de 2026. CRACI frente a Black Duck

3. Sonatype

Sonatype Lifecycle es el producto de SCA y políticas de Sonatype. Incluye 18 políticas predeterminadas, con políticas de licencias que abarcan más de 2.000 licencias, y su Advanced Binary Fingerprinting examina la aplicación terminada, incluidos los componentes renombrados o modificados. Repository Firewall detiene los componentes que incumplen sus políticas antes de que entren en sus repositorios, y SBOM Manager importa y monitoriza SBOM con un flujo de trabajo VEX.

Ideal para: organizaciones que quieren aplicar políticas de licencias y de seguridad en el repositorio de paquetes además de en la aplicación. Valórelo si: utiliza Nexus u otro gestor de repositorios. Los nuevos clientes compran Sonatype Guide; Firewall Pro parte de $4,800 al año (a septiembre de 2026). CRACI frente a Sonatype

4. Anchore Enterprise

Anchore Enterprise se basa en Syft y Grype, de código abierto. Crea SBOM para contenedores, código fuente y sistemas de archivos, importa SBOM creadas en otros lugares, vuelve a escanear de forma continua las SBOM almacenadas y aplica paquetes de políticas como FedRAMP y NIST. Puede autoalojarse, también en entornos air-gapped.

Ideal para: entornos gubernamentales y con muchos contenedores. Valórelo si: el cumplimiento de licencias no es su principal necesidad; las fuentes de Anchore que utilizamos se centran en la política de seguridad. El precio se fija mediante presupuesto. CRACI frente a Anchore

5. Cybeats SBOM Studio

SBOM Studio es un sistema de registro para las SBOM de sus productos y proveedores. Admite SPDX de 2.2 a 3.0.1 y CycloneDX de 1.2 a 1.7, valida los archivos con un Quality Score, coteja componentes de forma continua y añade VEX y análisis de licencias OSS y COTS. Comparte SBOM con los clientes, también mediante la Transparency Exchange API.

Ideal para: equipos de seguridad de producto que gestionan un programa de SBOM en muchos productos y proveedores. Valórelo si: tiene otra forma de generar SBOM; Cybeats remite a los proveedores de su Marketplace. CRACI frente a Cybeats

6. Manifest

Manifest crea, importa, enriquece y comparte SBOM para sus productos, el software de sus proveedores y sus modelos de IA. Los proveedores suben sus archivos a través de un portal, y Manifest puede generar una SBOM a partir de un binario compilado cuando un proveedor no puede facilitarla. Admite SPDX, CycloneDX y VEX, y convierte los hallazgos en tickets e informes de riesgo.

Ideal para: organizaciones cuya principal exposición es el software que compran. Valórelo si: el cumplimiento de licencias es central; las fuentes de Manifest que utilizamos se centran en la seguridad y el riesgo de proveedores. CRACI frente a Manifest

7. Mend.io

Mend SCA detecta licencias en dependencias directas y transitivas y aplica políticas, como bloquear AGPL en productos comerciales. Añade alcanzabilidad por grafo de llamadas, detección de paquetes maliciosos, SBOM en SPDX y CycloneDX, recepción de SBOM de terceros y VEX. Mend SAST cubre más de 30 lenguajes, y Mend Renovate mantiene al día las dependencias.

Ideal para: equipos que quieren política de licencias, escaneo de seguridad y actualizaciones de dependencias de un solo proveedor. Valórelo si: le encaja un precio por desarrollador; Mend AppSec figura con un precio de hasta $1,000 por desarrollador colaborador al año (a septiembre de 2026). CRACI frente a Mend.io

8. Dependency-Track (código abierto)

OWASP Dependency-Track es una plataforma gratuita con licencia Apache 2.0 que sigue los componentes de toda su cartera, obtiene datos de vulnerabilidades de fuentes como la NVD y GitHub Advisories y aplica políticas de seguridad, de licencias y operativas. Consume y produce CycloneDX VEX.

Ideal para: equipos que quieren análisis de SBOM autoalojado y política de licencias sin cuota de licencia. Valórelo si: está dispuesto a operarla y alimentarla; analiza las SBOM que usted sube y no las genera. CRACI para usuarios de Dependency-Track

9. ScanCode Toolkit (código abierto)

ScanCode Toolkit, del proyecto AboutCode, detecta licencias, copyrights, manifiestos de paquetes y dependencias directas en código fuente y archivos binarios. Escribe los resultados en JSON, YAML, HTML, CycloneDX o SPDX. El toolkit tiene licencia Apache-2.0.

Ideal para: equipos que quieren detección gratuita de licencias y copyright a nivel de archivo que puedan ejecutar en cualquier lugar. Valórelo si: puede construir el flujo de trabajo a su alrededor. Es un escáner, así que las políticas, la monitorización y los informes corren por su cuenta.

10. OSS Review Toolkit (código abierto)

OSS Review Toolkit (ORT) es un proyecto de la Linux Foundation con licencia Apache 2.0 que automatiza las políticas de código abierto. Su Analyzer resuelve las dependencias de distintos gestores de paquetes, el Downloader descarga su código fuente, el Scanner ejecuta escáneres de licencias y copyright, el Advisor obtiene avisos de seguridad, el Evaluator aplica sus reglas de política y el Reporter produce informes, avisos de código abierto y SBOM.

Ideal para: equipos que quieren un pipeline gratuito y autoalojado de cumplimiento de licencias con políticas como código. Valórelo si: dispone de tiempo de ingeniería para configurarlo y ejecutarlo.

Lado a lado

«Anchore» significa Anchore Enterprise, y «Cybeats» significa SBOM Studio. ScanCode y ORT son toolkits que usted integra en su propio flujo de trabajo, por lo que se describen más arriba y no figuran en la tabla. «No indicado» significa que la funcionalidad no aparece descrita en la documentación de los proveedores, no que falte.

Cuándo quedarse con FOSSA

• El cumplimiento de licencias y los avisos de atribución son su primera preocupación, compartida por los equipos legal y de ingeniería.
• Quiere empezar gratis y pagar por proyecto a medida que crece.
• Comparte SBOM con socios o con el público mediante el SBOM Portal de FOSSA.

Para más información sobre cómo registrar SBOM en el origen, consulte generación de SBOM durante el build, evidencias para el CRA y precios.

Alternativas a FOSSA: preguntas frecuentes

Respuestas breves a las preguntas que se plantean los equipos al comparar

¿Cuál es la mejor alternativa a FOSSA?

Depende de lo que le falte. Para el escaneo de fragmentos y binarios, fíjese en Black Duck. Para la política de licencias en el repositorio de paquetes, fíjese en Sonatype. Para la política de licencias con escaneo de seguridad y actualizaciones de dependencias, fíjese en Mend.io. Para programas de SBOM con proveedores, fíjese en Cybeats o Manifest. Para herramientas gratuitas, fíjese en ScanCode Toolkit, ORT y Dependency-Track. Si necesita un registro de lo que descargó cada build, CRACI lo registra desde el propio build.

¿Existe una alternativa gratuita a FOSSA?

Sí. ScanCode Toolkit y OSS Review Toolkit (ORT) son escáneres de licencias gratuitos y de código abierto, y OWASP Dependency-Track es una plataforma gratuita que aplica políticas de licencias a las SBOM que usted sube. La propia FOSSA también tiene un plan gratuito. Las herramientas gratuitas dejan en sus manos el alojamiento, la configuración y los informes.

¿Qué alternativas a FOSSA aplican políticas de licencias?

FOSSA, Black Duck, Sonatype, Mend.io y Dependency-Track aplican políticas de licencias, y ORT evalúa las reglas de licencias que usted escribe. Mend.io, por ejemplo, puede bloquear AGPL en productos comerciales. En CRACI, cada paquete registrado lleva su licencia declarada, de modo que las licencias copyleft se detectan antes de que acaben en el producto, y una regla de política de licencias puede bloquear el build.

¿Cubre CRACI el cumplimiento de licencias?

Sí, para las licencias declaradas. Cada paquete que CRACI registra desde el build lleva su licencia declarada, que se exporta en la SBOM, y las reglas de política de licencias pueden bloquear un build por una licencia. CRACI no hace escaneo de fragmentos ni de binarios, así que no encuentra código abierto copiado en su código sin un paquete.

¿En qué se diferencia FOSSA de Black Duck?

FOSSA nació en el cumplimiento de licencias y añade la gestión de SBOM, con un plan gratuito y precios por proyecto. Black Duck es una cartera de AppSec más amplia: SCA con análisis de firmas, fragmentos y binarios, una KnowledgeBase de más de 2.750 licencias y Coverity SAST, que se vende mediante presupuesto. FOSSA ofrece el escaneo de fragmentos y binarios como complementos.