CRACI frente a Legit Security

La respuesta corta

Legit Security es una plataforma de gestión de la postura de seguridad de aplicaciones (ASPM). Se conecta a su control de código fuente, CI, registros y escáneres, mapea su ciclo de vida de desarrollo de software, aplica políticas en todo él y reúne los hallazgos de seguridad en una sola vista priorizada. CRACI es un runner de GitHub Actions que registra lo que incorpora cada build, controla lo que el build puede alcanzar y sigue monitorizando lo distribuido. Legit gobierna el pipeline desde fuera; CRACI es la capa de ejecución del pipeline. Ambos venden a equipos con el mandato de proteger su cadena de suministro de software, y algunos equipos querrán los dos.

De un vistazo

Lo que Legit Security hace bien

Ver todo el SDLC. El producto de seguridad de la cadena de suministro de software de Legit aspira a descubrir y correlacionar automáticamente todo su SDLC, manteniendo un inventario actualizado de forma continua de los activos del SDLC y de los controles de seguridad que los protegen, con modelos visuales de sistemas y pipelines. Para un equipo de seguridad que ha heredado cientos de repositorios y varios sistemas de CI, ese mapa tiene valor por sí solo.

Políticas en muchos sistemas. Legit afirma que aplica cientos de políticas para proteger sistemas del SDLC, pipelines de CI/CD, código y equipos. Su lista de integraciones es amplia: GitHub, GitLab, Bitbucket y Azure DevOps para el control de código fuente; GitHub Actions, GitLab CI, Jenkins, CircleCI, TeamCity y otros para el CI; registros de contenedores y paquetes como JFrog Artifactory y Sonatype Nexus; y plataformas en la nube.

Una sola vista de los hallazgos. Legit orquesta escáneres existentes como Snyk, Checkmarx, Veracode y GitHub Advanced Security, y después correlaciona y deduplica sus hallazgos. También ofrece SAST y SCA nativos, con análisis de alcanzabilidad y detección de riesgos de licencias añadidos en 2025.

Secretos y código generado por IA. Su detección de secretos va más allá del código fuente y llega al historial de Git, los logs de build y espacios de trabajo compartidos como Slack, Confluence y Jira. VibeGuard lleva sus comprobaciones al IDE para el código generado por IA. Legit también publica Legitify, una herramienta de código abierto con licencia Apache 2.0 que encuentra configuraciones inseguras de GitHub y GitLab.

SBOM y atestaciones. Legit crea SBOM y atestaciones de software firmadas y admite informes de cumplimiento según marcos como ISO 27001, SSDF, SLSA, NIST, SOC 2 y PCI DSS.

En qué se diferencia CRACI

Una plataforma de postura lee la configuración y la salida de los escáneres mediante API. Puede decirle que un pipeline está configurado de forma arriesgada. No puede ver el tráfico de red de un job mientras se ejecuta, porque no es la máquina en la que se ejecuta el job. CRACI sí lo es.

El build es la fuente de verdad

Su workflow pasa a CRACI con un cambio de una línea en runs-on. Después, un proxy que entiende de paquetes registra lo que cada job descarga de las fuentes de paquetes npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk y Git, y los paquetes restaurados desde cachés de CI se arrastran al registro. Cada SBOM indica cuán completa es, por job y por caché: Complete, Complete with connections, Incomplete, Unavailable o Not recorded. La SBOM describe lo que el build descargó, no lo que un manifiesto dice que debería haber descargado.

Control, no solo visibilidad

Una política de egress en el runner decide a qué hosts puede acceder un job. Las políticas son de denegación por defecto o de permiso por defecto, con 24 presets integrados de fuentes de software y fuentes personalizadas tipadas. Se validan antes de que empiece el job, bloquean si fallan y envían una alerta ante una infracción. Un hallazgo de postura le dice que corrija un ajuste; una política de egress detiene la conexión mientras se ejecuta el build.

Evidencia del build

La API devuelve SBOM, trazas de red y procedencia. CRACI no firma la procedencia. Sigue reevaluando las SBOM monitorizadas a medida que se publican nuevas vulnerabilidades, y agrega los hallazgos de todos los builds y repositorios.

Lo que CRACI no hace también importa aquí. No tiene SAST, ni escaneo de secretos, ni inventario del SDLC, ni agregación de escáneres, y solo es compatible hoy con GitHub Actions, con GitLab CI y Jenkins en la hoja de ruta.

Un inventario de qué está desplegado y dónde

La vista de inventario de CRACI muestra exactamente qué versiones de software están desplegadas en qué productos, a escala global. Cuando aparece una nueva vulnerabilidad, puede ver qué productos ejecutan la versión afectada en lugar de reconstruirlo a partir de notas de versión y hojas de cálculo.

Cuál le conviene y cuándo usar los dos

• Utiliza muchos sistemas de SCM y CI y necesita una sola capa de gobernanza. Legit. Su amplitud en GitHub, GitLab, Bitbucket, Azure DevOps, Jenkins y otros es lo esencial.
• Necesita pruebas de lo que entró en cada versión. CRACI. El registro procede del runner, con un estado de completitud.
• Un paquete comprometido intenta comunicarse con el exterior durante un build. La política de egress de CRACI bloquea las conexiones fuera de las fuentes permitidas. Las consultas ad hoc de Legit sobre su SDLC ayudan en la investigación posterior.
• Ya utiliza Legit y compila en GitHub Actions. Conserve Legit para la postura, los secretos y los hallazgos. Pase a runners de CRACI los builds que distribuye, para que la SBOM, la procedencia y el registro de red salgan del propio build.

Para el CRA

El Cyber Resilience Act pide a los fabricantes que documenten los componentes de sus productos, incluida una SBOM, y que gestionen las vulnerabilidades mientras el producto tenga soporte. La notificación de vulnerabilidades explotadas activamente se aplica desde septiembre de 2026. Legit ayuda gobernando el proceso de desarrollo e informando sobre la postura de seguridad. CRACI ayuda generando evidencia por build de lo que entró en cada versión, con procedencia, monitorización continua y exportación de SBOM en CycloneDX o SPDX. CRACI automatiza una parte importante de la visibilidad y la evidencia de la cadena de suministro de software que las empresas necesitan para su proceso más amplio de cumplimiento del CRA; ninguna de las dos herramientas hace que un producto cumpla por sí sola. Lea qué exige el CRA y cómo CRACI apoya el cumplimiento del CRA.

Añadir CRACI junto a Legit Security

Defina runs-on: craci en los workflows que compilan lo que usted distribuye. CRACI sustituye el runner, no GitHub Actions, así que los repositorios y los workflows se quedan en GitHub y las ejecuciones siguen apareciendo en la interfaz de GitHub. CRACI exporta SBOM en CycloneDX y SPDX para cualquier herramienta que las admita. Los equipos con pipelines de GitLab, Jenkins o Azure DevOps tendrían que migrar esos builds a GitHub Actions para usar runners de CRACI. GitLab CI y Jenkins están en la hoja de ruta. Más información sobre la generación de SBOM durante el build y la integración con CI/CD.

¿Valora más de dos herramientas? Alternativas a Legit Security compara nueve opciones una junto a otra.