CRACI y JFrog Artifactory

Dos puntos de vista sobre la misma cadena de suministro

Muchas organizaciones de ingeniería enrutan el tráfico de paquetes a través de JFrog Artifactory. Un repositorio remoto actúa como proxy con caché de un registro público como npm o PyPI: descarga los paquetes bajo demanda y guarda una copia. Los repositorios virtuales combinan varias fuentes detrás de una sola URL. Las salidas de sus propios builds residen en repositorios locales. Eso le da un único lugar para ver y controlar lo que entra en la empresa.

CRACI está en otro sitio. Es el runner de CI en el que se ejecutan sus jobs de GitHub Actions y, mientras se ejecuta cada job, registra las dependencias externas que incorpora. Artifactory responde a «¿qué ha pasado por nuestros repositorios?». CRACI responde a «¿qué utilizó este build concreto y qué artefacto salió de él?».

Lo que Artifactory hace bien

Artifactory es un gestor de repositorios maduro. Da a los equipos un acceso fiable y con caché a los paquetes públicos, un lugar para los artefactos internos y un único punto de control para muchos tipos de paquetes. A su alrededor, la JFrog Platform añade más:

• Build-info. Con la JFrog CLI, usted añade un nombre y un número de build a sus comandos y publica un registro JSON de las dependencias resueltas, los artefactos producidos, las variables de entorno y los datos de Git. Ese registro permite la trazabilidad, la promoción de builds y el escaneo con Xray.
• Xray. Escanea artefactos y builds en busca de vulnerabilidades y exporta SBOM en SPDX y CycloneDX. La matriz de licencias de JFrog indica que Xray está incluido en las suscripciones Pro X, Enterprise X y Enterprise+ (a septiembre de 2026).
• Curation. Bloquea paquetes maliciosos o vulnerables en el repositorio remoto antes de que lleguen a los desarrolladores, incluidos los paquetes que ya están en la caché remota.

El bloqueo a nivel de paquete en el registro es un punto fuerte real. CRACI no bloquea hoy paquetes individuales; las listas de bloqueo de paquetes para toda la organización están en la hoja de ruta de CRACI.

Lo que CRACI aporta

Visibilidad que no depende del enrutamiento

Artifactory ve lo que se enruta a través de él. Los builds no siempre colaboran. Un job puede descargar una toolchain de una versión publicada en GitHub, instalar paquetes del sistema operativo, descargar una imagen base de un registro público o ejecutar un script que descarga un binario. La propia documentación de JFrog señala que las dependencias descargadas por otras herramientas se pueden registrar a mano con build-add-dependencies, lo que significa que alguien tiene que saber que existen.

CRACI registra en el runner. Un proxy que entiende de paquetes observa el tráfico hacia las fuentes de paquetes durante el job, en fuentes npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk y Git, además de los presets de descarga. Si sus instalaciones de npm o PyPI pasan por un mirror de Artifactory, funciona: CRACI también registra esos paquetes.

Evidencia por build sin pasos adicionales

Build-info es valioso, pero es algo que usted añade a cada pipeline. En CRACI, el registro existe para cada job porque lo genera el runner. La evidencia de dependencias viaja con las cachés de CI, así que un paquete restaurado desde una caché sigue contando. Cada SBOM lleva un estado de completitud por job y por caché: Complete, Complete with connections, Incomplete, Unavailable o Not recorded. Cuando un registro tiene una laguna, lo dice.

Mantenga los builds en la ruta aprobada

Como CRACI ejecuta el job, puede definir su política de egress de red. Las políticas son de denegación por defecto o de permiso por defecto, con 24 presets de fuentes de software integrados, fuentes personalizadas tipadas (npm, PyPI, apt, apk, el proxy de Go, Nix, Cargo, registros OCI y Git) y reglas explícitas de TLS, TCP, UDP e ICMP. Se validan antes de que empiece el job y, si fallan, bloquean. Una política que permita su host de Artifactory y deniegue el acceso directo a los registros públicos ayuda a garantizar que los builds usen realmente la ruta controlada. CRACI le alerta cuando un job infringe su política.

Evidencia del build junto a Artifactory

La API devuelve SBOM, trazas de red y procedencia. CRACI no firma la procedencia. Guarde el artefacto en Artifactory como hasta ahora; el registro de lo que descargó el build procede de CRACI.

Para los equipos sujetos al Cyber Resilience Act de la UE, ese registro alimenta la evidencia por versión. CRACI agrega las vulnerabilidades de todos los builds y repositorios, reevalúa de forma continua las SBOM monitorizadas y las exporta en CycloneDX o SPDX. Consulte la evidencia para el CRA y el cumplimiento del CRA.

Un inventario de qué está desplegado y dónde

La vista de inventario de CRACI muestra exactamente qué versiones de software están desplegadas en qué productos, a escala global. Cuando aparece una nueva vulnerabilidad, puede ver qué productos ejecutan la versión afectada en lugar de reconstruirlo a partir de notas de versión y hojas de cálculo.

Cómo encajan

1. Conserve Artifactory como proxy de paquetes, almacén de artefactos y punto de distribución de versiones.
2. Pase los jobs de GitHub Actions a CRACI cambiando runs-on a craci. Los workflows siguen igual, y las ejecuciones siguen apareciendo en la interfaz de GitHub.
3. Dirija las instalaciones de npm y PyPI a sus mirrors de Artifactory como hasta ahora.
4. Use una política de egress de CRACI para mantener los builds en fuentes aprobadas, incluido Artifactory.
5. Use la SBOM por build, la procedencia y la traza de red de CRACI como evidencia de cada versión.

Si hoy depende de JFrog build-info o Curation, consérvelos. CRACI solo es compatible hoy con GitHub Actions (GitLab CI y Jenkins están en la hoja de ruta), así que los pipelines de otros sistemas de CI se quedan donde están.

Si lo que quiere es sustituir Artifactory, consulte las alternativas a JFrog Artifactory.

Preguntas habituales

¿CRACI sustituye a Artifactory?

No. CRACI no es un gestor de repositorios. No almacena sus paquetes ni sus binarios de lanzamiento, y tampoco los distribuye. Ejecuta sus builds y registra evidencia sobre ellos.

¿CRACI se solapa con Xray?

En parte. Ambos exportan SBOM en CycloneDX y SPDX y ambos ayudan a seguir las vulnerabilidades. La diferencia está en la entrada. Xray escanea los artefactos y builds que JFrog conoce. La SBOM y la vista de vulnerabilidades de CRACI proceden de lo que cada build descargó mientras se ejecutaba, en todos los builds y repositorios. Si Xray está integrado en su proceso de lanzamiento, consérvelo y trate el registro por build de CRACI como una segunda fuente independiente.

¿Qué tipos de repositorio de Artifactory funcionan con CRACI?

Está confirmado que los mirrors npm y PyPI de Artifactory funcionan con los builds de CRACI. Para otros tipos de paquetes, hable con nosotros sobre su configuración antes de migrar esos pipelines.