CRACI frente a DefectDojo

La respuesta corta

DefectDojo es una plataforma de gestión de vulnerabilidades de código abierto y un proyecto Flagship de OWASP, con una edición comercial, DefectDojo Pro, de DefectDojo Inc., con sede en Austin (Texas). Importa los resultados de las herramientas de seguridad que usted ya utiliza, los deduplica en una sola cola y hace el seguimiento de la corrección. Pro añade gestión de SBOM y un PSIRT Advisory Engine. CRACI es un runner de GitHub Actions que registra lo que incorpora cada build mientras se ejecuta, genera la SBOM a partir de ese registro, la monitoriza en busca de nuevas vulnerabilidades y permite a los equipos de seguridad hacer el triaje de lo que encuentra. DefectDojo reúne lo que notifican otras herramientas; CRACI es la fuente del registro de dependencias del software que usted compila.

De un vistazo

Lo que DefectDojo hace bien

Una cola para todos los escáneres. El sitio de DefectDojo enumera más de 500 herramientas compatibles y describe el objetivo sin rodeos: «Cada escáner SAST, DAST, SCA, de nube y de contenedores de su stack, deduplicado en una sola cola». La deduplicación entre escáneres que se solapan es el motivo por el que muchos equipos lo adoptan. A partir de ahí, los hallazgos reciben responsables, SLA y tickets de Jira.

Código abierto con una larga trayectoria. La Community Edition es gratuita bajo la licencia BSD 3-Clause y se ejecuta con Docker Compose. OWASP incluye DefectDojo entre sus proyectos Flagship, y DefectDojo afirma que lo usan más de 10.000 organizaciones. DefectDojo Inc. cerró una ronda de serie A de $7 millones en septiembre de 2024.

Las SBOM como modelo de activos. En Pro, una SBOM subida a un activo se convierte en un conjunto de dependencias en Locations, el modelo de activos a nivel de componente de DefectDojo. Importa CycloneDX (JSON y XML) y SPDX (JSON, XML y tag-value), exporta CycloneDX 1.6 o SPDX 2.3, y exporta los estados de los hallazgos como un documento CycloneDX VEX. Su documentación deja claro que DefectDojo no genera SBOM por sí mismo.

Un flujo de trabajo para el PSIRT. DefectDojo lanzó su PSIRT Advisory Engine en abril de 2026 como «la primera plataforma de seguridad diseñada específicamente para el PSIRT». Es una función de Pro. Importa avisos de fuentes como el catálogo Known Exploited Vulnerabilities de CISA, la NVD, la EUVD, Red Hat y Exploit-DB, los coteja con los datos de SBOM o con reglas de activos personalizadas, los prioriza por CVSS, EPSS y estado en KEV, los agrupa en casos con responsables y publica avisos en PDF con su marca. La versión de Pro de septiembre de 2026 añadió la exportación de avisos CSAF 2.0 y VEX y una interfaz de notificación para el artículo 14 del CRA.

Precios publicados. Pro en la modalidad de pago por uso cuesta $100 al mes más $0.15 por hallazgo procesado, con descuentos por pago anual anticipado. La Community Edition sigue siendo gratuita.

En qué se diferencia CRACI

DefectDojo trabaja con resultados que producen otras herramientas. CRACI produce su propio registro, porque es la máquina en la que se ejecuta el build.

La SBOM sale del build

El cotejo de avisos de DefectDojo depende de la calidad de los datos de SBOM que usted carga en él, y esa SBOM procede de un generador situado en algún punto anterior. CRACI sustituye el runner: usted cambia runs-on a craci, y un proxy que entiende de paquetes registra lo que cada job descarga de las fuentes de paquetes, incluidos los paquetes restaurados desde cachés de CI y las dependencias ocultas que no figuran en ningún lockfile. La SBOM, en CycloneDX o SPDX, sale de ese registro, y cada una indica su grado de completitud por job y por caché: Complete, Complete with connections, Incomplete, Unavailable o Not recorded.

Monitorización y triaje sobre el mismo registro

CRACI reevalúa las SBOM monitorizadas a medida que se publican nuevas vulnerabilidades y agrega los hallazgos de todos los builds y repositorios. El historial de builds muestra cada build anterior y su SBOM dentro de su periodo de conservación, así que puede ver qué builds contenían una dependencia vulnerable y durante cuánto tiempo. La vista de inventario muestra qué versiones de software están desplegadas en qué productos. Los equipos de seguridad hacen el triaje de los hallazgos y envían cada uno al equipo responsable de la corrección, registran VEX y definen controles de política que bloquean un build, incluidos los builds que contienen una CVE concreta. También puede añadir SBOM de proveedores, de modo que los componentes adquiridos se monitorizan junto con sus propios builds.

Control sobre a qué puede acceder el build

Como CRACI ejecuta el job, aplica una política de egress de red: denegación por defecto o permiso por defecto, con 24 presets de fuentes de software integrados. Las políticas se validan antes de que empiece el job y, si fallan, bloquean. DefectDojo puede hacer el seguimiento de un componente de riesgo a posteriori; una política de egress limita desde el principio de dónde puede descargar un build.

Lo que CRACI no hace

CRACI no importa hallazgos de otros escáneres, así que no es una cola única para los resultados de SAST, DAST, nube y contenedores. No escanea el código fuente; el SAST y el escaneo de secretos quedan fuera de su alcance por diseño. No ofrece análisis de alcanzabilidad y hoy solo es compatible con GitHub Actions, con GitLab CI y Jenkins en la hoja de ruta.

Cuándo usar cada uno

• Necesita una sola cola para los hallazgos de muchas herramientas. DefectDojo. Está hecho para importar resultados de escáneres SAST, DAST, SCA, de nube y de contenedores y deduplicarlos, y CRACI no hace eso.
• Su principal exposición son las dependencias del software que compila en GitHub Actions. CRACI. Genera la SBOM en el build, la monitoriza y lleva el triaje hasta el equipo responsable, así que no hay generador que ejecutar ni subida de SBOM que mantener.
• Quiere en una sola herramienta el cotejo de fuentes de avisos con los productos, avisos en PDF y una interfaz de notificación para el artículo 14 del CRA. DefectDojo Pro los integra en su PSIRT Advisory Engine.
• Necesita una herramienta gratuita que pueda alojar usted mismo. La Community Edition de DefectDojo. CRACI es hoy un servicio gestionado, con runners alojados por el cliente en la hoja de ruta para Enterprise.

Sustituir la parte de SBOM de DefectDojo

Si DefectDojo contiene sobre todo hallazgos de SCA y SBOM subidas del software que usted compila, CRACI cubre ese trabajo en un solo producto: el build, la SBOM, la monitorización continua y el triaje. No hay un generador que mantener al día con cada ecosistema ni un proceso de importación que mantener, y el inventario sale de lo que el build descargó realmente y no de lo que estimó un escaneo.

Tenga claro a qué renuncia. DefectDojo es de código abierto y se puede autoalojar. Deduplica hallazgos de cientos de herramientas, no solo de dependencias. Si es el lugar donde confluyen los resultados de todos los escáneres, consérvelo para esa tarea; CRACI no importa los hallazgos de otras herramientas.

En un PSIRT

La primera pregunta de la mayoría de los casos de PSIRT es qué productos y versiones contienen el componente afectado. El PSIRT Services Framework de FIRST considera esencial el inventario de componentes de los productos para responderla. DefectDojo responde a partir de los datos de SBOM que usted carga; CRACI responde a partir de un registro de lo que descargó cada build, y sigue respondiendo a medida que aparecen nuevas CVE. Lea qué hace un PSIRT, CRACI para equipos PSIRT y la comparativa de herramientas para PSIRT.

Para los productos regulados, CRACI automatiza una parte importante de la visibilidad y la evidencia de la cadena de suministro de software que las empresas necesitan para su proceso más amplio de cumplimiento del CRA. Ninguna herramienta de esta página hace que un producto cumpla por sí sola.

¿Valora más de dos herramientas? Alternativas a DefectDojo compara seis opciones, incluida Dependency-Track.