CRACI frente a FOSSA

La respuesta corta

FOSSA destaca sobre todo en el cumplimiento de licencias de código abierto y en la gestión del ciclo de vida de las SBOM: generar SBOM de aplicaciones, importar SBOM de terceros, monitorizarlas en busca de vulnerabilidades y compartirlas con clientes y autoridades. CRACI es un runner de GitHub Actions que registra las dependencias que cada job descargó realmente y produce la SBOM a partir de ese registro, con un estado de completitud.

FOSSA gestiona las SBOM que usted le da. CRACI produce una a partir del build y la sigue monitorizando, de modo que, para su propio software, el CI, la SBOM y el seguimiento de vulnerabilidades están en un solo lugar. Donde el cumplimiento de licencias es la principal preocupación, FOSSA sigue por delante.

De un vistazo

Lo que FOSSA hace bien

• Cumplimiento de licencias. Aquí es donde empezó FOSSA, y se nota. Detecta licencias a partir del texto completo, aplica políticas automáticamente, extrae información de copyright y genera avisos de atribución en SPDX, HTML y texto. Los equipos legales y de ingeniería pueden trabajar con los mismos datos.
• Ciclo de vida de las SBOM. FOSSA «produces and consumes SBOMs». Genera SBOM en SPDX y CycloneDX, opcionalmente con declaraciones VDR o VEX, e importa SBOM existentes para «analyze dependencies you don't build yourself». Las políticas de SBOM pueden exigir los elementos mínimos de la NTIA y la FDA en los archivos importados.
• Distribución. En Enterprise, el SBOM Portal comparte datos de SBOM con socios o públicamente, para que usted no tenga que enviar archivos por correo a los clientes.
• Escaneo amplio. La CLI de FOSSA se integra con más de 20 sistemas de build, y el escaneo de contenedores está incluido. El escaneo de fragmentos y el de binarios están disponibles como complementos.
• Una forma gratuita de empezar. El plan Free cubre 5 proyectos y 5 SBOM importadas. Business cuesta $20 por proyecto al mes, con facturación anual, y Enterprise es a medida (a septiembre de 2026).

Si su principal problema es el riesgo de licencias, o gestionar SBOM que llegan de muchos proveedores, FOSSA cubre un terreno que CRACI no cubre. CRACI muestra los metadatos de la licencia declarada, los incluye en la exportación de SBOM y aplica la política de licencias.

En qué se diferencia CRACI

La SBOM sale de lo que hizo el build

La CLI de FOSSA analiza un proyecto integrándose con su herramienta de build cuando hay disponible un build que funciona, y deduciendo las dependencias del código fuente cuando no lo hay. Es un enfoque sólido, y sigue siendo un análisis del proyecto. CRACI, en cambio, ejecuta el job. Usted cambia runs-on a craci, y un proxy que entiende de paquetes registra el tráfico hacia las fuentes de paquetes durante el build: fuentes npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk y Git, además de presets de descarga. La evidencia de dependencias viaja con las cachés de CI, de modo que un paquete restaurado desde una caché sigue en el registro, incluidas todas las dependencias transitivas que utilizó el build.

El método importa porque los generadores de SBOM discrepan, y discrepan por diseño. Cada uno decide por sí mismo qué cuenta como componente y en qué archivos confiar, así que, al aplicar dos de ellos a un mismo repositorio, se obtienen dos listas que se solapan pero difieren. Ni FOSSA ni CRACI se pueden comparar en esos términos, ya que CRACI registra builds y no puede escanear un directorio. La idea se refiere al análisis estático en general: la respuesta depende de la herramienta, de su configuración y de los archivos presentes.

Le dice cuándo está incompleta

Las políticas de SBOM de FOSSA comprueban que los campos obligatorios estén presentes. CRACI añade una señal distinta: un estado de completitud por job y por caché (Complete, Complete with connections, Incomplete, Unavailable o Not recorded) que indica si el propio registro tuvo alguna laguna. Cuando un auditor pregunta cómo sabe usted que un inventario está completo, esa es la respuesta.

Control y procedencia

Como CRACI ejecuta el job, aplica una política de egress de red: denegación o permiso por defecto, con 24 presets de fuentes de software integrados y fuentes personalizadas tipadas, validada antes de que empiece el job y que bloquea si falla (fail closed). La API devuelve SBOM, trazas de red y datos de procedencia.

Monitorización

CRACI reevalúa continuamente las SBOM monitorizadas. El fossabot de FOSSA trabaja en un problema distinto: revisa las actualizaciones de dependencias, incluidas las de Dependabot o Renovate, en busca de cambios incompatibles y de su impacto.

Un inventario de qué está desplegado y dónde

La vista de inventario de CRACI muestra exactamente qué versiones de software están desplegadas en qué productos, a escala global. Cuando aparece una nueva vulnerabilidad, puede ver qué productos ejecutan la versión afectada en lugar de reconstruirlo a partir de notas de versión y hojas de cálculo.

Sustituir FOSSA por CRACI

Para el software que usted mismo compila, CRACI cubre lo que hacen las funciones de SBOM y vulnerabilidades de FOSSA, desde el origen. Ejecuta sus jobs de GitHub Actions, registra la SBOM de cada build, sigue reevaluando las SBOM monitorizadas a medida que se publican nuevas vulnerabilidades, agrega los hallazgos de todos los builds y repositorios y permite a los equipos de seguridad hacer su triaje y enviar cada uno al equipo responsable de la corrección. También se pueden añadir SBOM de proveedores, de modo que los componentes adquiridos se monitorizan junto a sus propios builds. No hay ningún paso de CLI aparte que mantener.

Tenga claro a qué renuncia. El cumplimiento de licencias de FOSSA es maduro: políticas, detección de licencias por texto completo, extracción de copyright y avisos de atribución. CRACI exporta la licencia declarada de cada componente y aplica la política de licencias, incluido bloquear un build por una licencia; la detección y los resultados de atribución de FOSSA van más allá. CRACI tampoco ofrece escaneo de fragmentos ni de binarios ni un portal para compartir SBOM, y hoy solo es compatible con GitHub Actions, con GitLab CI y Jenkins en la hoja de ruta. Si el cumplimiento de licencias es su primera preocupación, conserve FOSSA.

Para el Cyber Resilience Act

FOSSA publica orientación sobre el CRA. Su resumen del requisito de SBOM: los fabricantes elaboran una SBOM en un formato de uso común y legible por máquina que cubra «at the very least the top-level dependencies of the products», y la comparten con las autoridades de vigilancia del mercado como parte de la documentación técnica. FOSSA presenta la importación, la generación, el análisis de vulnerabilidades y la compartición segura con las autoridades como su ayuda para el CRA.

Las dependencias de primer nivel son el mínimo, no el objetivo. Una vulnerabilidad en un paquete transitivo sigue estando en su producto. Las obligaciones de notificación del CRA se aplican desde el 11 de septiembre de 2026, con una alerta temprana en un plazo de 24 horas para una vulnerabilidad activamente explotada, y sus disposiciones principales se aplican desde el 11 de diciembre de 2027. CRACI registra el conjunto completo de dependencias que utilizó cada build, devuelve SBOM, trazas de red y datos de procedencia a través de su API y exporta las SBOM en CycloneDX o SPDX, vulnerabilidades incluidas.

CRACI automatiza una parte importante de la visibilidad y la evidencia de la cadena de suministro de software que las empresas necesitan para su proceso más amplio de cumplimiento del CRA. Ninguno de los dos productos hace que un fabricante cumpla por sí solo. Consulte qué exige el CRA y el cumplimiento del CRA con CRACI.

CRACI y FOSSA: preguntas frecuentes

Sustituir FOSSA, precios, formatos de SBOM y compatibilidad con CI

¿Es CRACI una alternativa a FOSSA?

Sí, para las SBOM y la monitorización de vulnerabilidades del software que usted compila. CRACI ejecuta sus jobs de GitHub Actions, registra la SBOM de cada build, sigue reevaluando las SBOM monitorizadas y permite a los equipos de seguridad hacer el triaje de los hallazgos y enviarlos al equipo responsable. FOSSA sigue por delante en el cumplimiento de licencias de código abierto, así que, si esa es su primera preocupación, conserve FOSSA.

¿CRACI sustituye a FOSSA o funciona junto a él?

Para su propio software, CRACI lo sustituye: el CI, la SBOM y el seguimiento de vulnerabilidades están en un solo producto, sin ningún paso de CLI aparte que mantener. A lo que renuncia es al maduro cumplimiento de licencias de FOSSA (detección de licencias por texto completo, extracción de copyright y avisos de atribución), a sus complementos de escaneo de fragmentos y binarios y a su SBOM Portal.

¿Cómo se comparan los precios de CRACI con los de FOSSA?

A septiembre de 2026, FOSSA tiene un plan Free que cubre 5 proyectos y 5 SBOM importadas, Business a $20 por proyecto al mes con facturación anual y precios Enterprise a medida. CRACI cobra solo por los minutos de build: $0.002 por vCPU-minuto ($0.004 para un runner de 2 vCPU por defecto), medido por segundo, sin cuota mensual ni cargo por SBOM. Consulte los precios para conocer las condiciones vigentes.

¿Qué formatos de SBOM admiten FOSSA y CRACI?

Ambos exportan SPDX y CycloneDX. FOSSA puede añadir declaraciones VDR o VEX a sus SBOM. CRACI exporta la SBOM de cada build con las dependencias transitivas y la licencia declarada de cada componente, indica lo completo que fue el registro por job y por caché, y es compatible con VEX.

¿Puede CRACI hacer el seguimiento de SBOM de proveedores como FOSSA?

Sí. Puede añadir SBOM de proveedores a CRACI, y esos componentes adquiridos se monitorizan junto al software que usted compila. FOSSA importa archivos SPDX y CycloneDX y puede aplicarles políticas de SBOM, como exigir los elementos mínimos de la NTIA y la FDA.

¿Con qué sistemas de CI son compatibles FOSSA y CRACI?

La CLI de FOSSA se ejecuta dentro de su CI y se integra con más de 20 sistemas de build. CRACI es hoy un runner para GitHub Actions; otros sistemas de CI están en la hoja de ruta, entre ellos GitLab CI y Jenkins.

¿Ayuda CRACI con el Cyber Resilience Act?

Sí. CRACI registra el conjunto completo de dependencias que utilizó cada build, no solo las de primer nivel, devuelve SBOM, trazas de red y datos de procedencia a través de su API y envía en su nombre las notificaciones de vulnerabilidades del CRA. Automatiza una parte importante de la visibilidad y la evidencia de la cadena de suministro que necesita su proceso del CRA; ninguno de los dos productos hace que un fabricante cumpla por sí solo. Reserve una demo para comparar la SBOM de CRACI con la que gestiona hoy.