Comparativa
CRACI frente a OX Security
OX Security compone un panorama del riesgo a partir de su c贸digo, pipelines, registros y esc谩neres, y lo registra en un Pipeline Bill of Materials. CRACI es el runner en el que se ejecutan sus builds, as铆 que registra lo que descarg贸 cada build y controla lo que puede alcanzar.
Actualizado el
La respuesta corta
OX Security es una plataforma de gesti贸n de la postura de seguridad de aplicaciones (ASPM) con sus propios esc谩neres (SAST, SCA, secretos, IaC y contenedores), agregaci贸n de hallazgos de terceros, pol铆ticas de postura de CI/CD y contexto de ejecuci贸n y de nube. Para la seguridad de la cadena de suministro ofrece el Pipeline Bill of Materials (PBOM): un registro firmado de c贸mo se construy贸 cada artefacto, desde el commit hasta producci贸n pasando por el CI/CD.
CRACI compite por el mismo presupuesto de cadena de suministro. La diferencia es el punto de observaci贸n. OX se conecta al control de c贸digo fuente, los sistemas de CI y los registros que usted ya utiliza, y compone su panorama a partir de ellos. CRACI es el runner de build para GitHub Actions: registra lo que cada job incorpor贸 realmente, aplica una pol铆tica de egress mientras se ejecuta, monitoriza lo distribuido y produce evidencia para el CRA. OX es mucho m谩s amplio; CRACI es el build en s铆.
De un vistazo
| Funci贸n | CRACI | OX Security |
|---|---|---|
| Ejecuta sus builds | Los jobs se ejecutan en runners de CRACI | Se conecta a los sistemas de CI que usted utiliza |
| De d贸nde sale la SBOM | La registra el runner a partir de lo que descarga cada job, incluidas las restauraciones de cach茅s de CI, con un estado de completitud por job. | Se recopila de fuentes conectadas: control de c贸digo fuente, pipelines de CI/CD, im谩genes de contenedor y archivos importados. |
| Pol铆tica de egress de la red del build | Denegaci贸n o permiso por defecto; si falla, bloquea | Las pol铆ticas de postura comprueban en su lugar la configuraci贸n del workflow |
| Registro del build firmado | Sin procedencia firmada | PBOM firmado por build |
| Monitorizaci贸n continua de dependencias | SBOM monitorizadas reevaluadas continuamente | Inventario actualizado continuamente, priorizaci贸n basada en la explotabilidad |
| Bloqueo de builds por pol铆tica de seguridad | Los controles de pol铆tica bloquean el build | El paso de escaneo hace fallar el workflow ante problemas bloqueantes |
| Pol铆ticas de postura de CI/CD | Acciones sin fijar, permisos, webhooks, gesti贸n de secretos | |
| SAST, secretos, IaC y contenedores | OX Code, adem谩s de agregaci贸n de esc谩neres de terceros | |
| Sistemas de CI cubiertos | GitHub Actions hoy; GitLab CI y Jenkins en la hoja de ruta | GitHub Actions, GitLab, Jenkins, Azure Pipelines, CircleCI |
| Precios | $0.002 por vCPU-minuto ($0.004 para 2 vCPU), medido por segundo; sin cuota mensual ni cargo por SBOM | OX Code se cobra por desarrollador colaborador; sin precios de lista publicados (a septiembre de 2026). |
- Incluido
- No incluido
- En la hoja de ruta
Lo que OX Security hace bien
- Un registro del build que va m谩s all谩 de la SBOM. El PBOM de OX recoge definiciones de pipeline, identidad del runner, argumentos de build, firmas de artefactos y linaje de versiones, y OX afirma que contiene todos los componentes de c贸digo abierto resueltos en cada build. Se firma por build. OX tambi茅n genera SBOM en SPDX y CycloneDX.
- Postura de CI/CD. Las pol铆ticas de OX se帽alan archivos de workflow inseguros, acciones de terceros sin fijar, comandos obsoletos de GitHub Actions, permisos excesivos en los workflows, secretos en texto plano y webhooks de riesgo, y pueden se帽alar sistemas de CI no aprobados para builds.
- Aplicaci贸n en el pipeline. La GitHub Action OX Security Scan ejecuta escaneos de secretos, SAST, SCA e IaC y hace fallar el workflow cuando encuentra un problema bloqueante seg煤n sus pol铆ticas de OX.
- Agregaci贸n. OX incorpora hallazgos de esc谩neres como Checkmarx, Veracode, SonarQube, Snyk, Black Duck y JFrog Xray, junto con los suyos.
- Amplia cobertura de integraciones. En cuanto a CI, enumera GitHub Actions, GitLab CI/CD, Jenkins, Azure Pipelines, CircleCI y Drone CI, adem谩s de ocho sistemas de control de c贸digo fuente y diez registros de contenedores.
- Funcionalidades para la era de la IA. OX VibeSec cubre el c贸digo y las dependencias generados por IA con un AI Bill of Materials, y la correcci贸n con IA sugiere arreglos de c贸digo en las pull requests y el IDE.
En qu茅 se diferencia CRACI
Lo registra el runner, no se recopila de herramientas conectadas
La documentaci贸n de OX dice que su SBOM recopila datos de fuentes conectadas, como el control de c贸digo fuente, los pipelines de CI/CD, las im谩genes de contenedor y los archivos importados. Eso da una visi贸n amplia de todo su entorno. CRACI adopta una visi贸n m谩s estrecha y profunda de cada build: un proxy que entiende de paquetes observa el tr谩fico hacia las fuentes de paquetes mientras se ejecuta el job, en fuentes npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk y Git, adem谩s de los presets de descarga. La evidencia de dependencias viaja con las cach茅s de CI, de modo que un paquete restaurado desde una cach茅 se sigue contabilizando.
Cada SBOM de CRACI lleva un estado de completitud por job y por cach茅: Complete, Complete with connections, Incomplete, Unavailable o Not recorded. Cuando el registro tiene una laguna, lo dice.
Control mientras se ejecuta el build
Las pol铆ticas de postura de OX comprueban c贸mo est谩 configurado un pipeline. CRACI limita lo que el build puede alcanzar. Las pol铆ticas de egress son de denegaci贸n o permiso por defecto, con 24 presets integrados de fuentes de software, fuentes personalizadas tipadas para npm, PyPI, apt, apk, el proxy de Go, Nix, Cargo, registros OCI y Git, y reglas expl铆citas de TLS, TCP, UDP e ICMP. Las pol铆ticas se validan antes de que empiece el job y, si fallan, bloquean, y CRACI puede avisarle de una infracci贸n.
Procedencia y monitorizaci贸n a partir de un solo registro
La API devuelve SBOM, trazas de red y procedencia. CRACI no firma la procedencia ni declara ning煤n nivel de SLSA. Sigue reevaluando las SBOM de lo que usted distribuy贸 a medida que se publican nuevas vulnerabilidades.
Un inventario de qu茅 est谩 desplegado y d贸nde
La vista de inventario de CRACI muestra exactamente qu茅 versiones de software est谩n desplegadas en qu茅 productos, a escala global. Cuando aparece una nueva vulnerabilidad, puede ver qu茅 productos ejecutan la versi贸n afectada en lugar de reconstruirlo a partir de notas de versi贸n y hojas de c谩lculo.
D贸nde va por delante OX
Para decirlo con claridad: CRACI no tiene escaneo SAST, de secretos, de IaC ni de contenedores, ni comprobaciones de postura de CI/CD, ni agregaci贸n de esc谩neres de terceros, ni contexto de ejecuci贸n o de nube. Los controles de pol铆tica de CRACI pueden bloquear un build por sus hallazgos, pero CRACI solo es compatible hoy con GitHub Actions, con GitLab CI y Jenkins en la hoja de ruta. Si necesita una plataforma que abarque todos los pipelines y esc谩neres que utiliza, OX cubre mucho m谩s.
Cu谩l encaja mejor
OX Security encaja mejor cuando
- Quiere una plataforma ASPM que agregue muchos esc谩neres y priorice entre ellos.
- Necesita pol铆ticas de postura de CI/CD en GitLab, Jenkins, Azure Pipelines o CircleCI.
- Quiere hoy bloqueos en las pull requests por hallazgos de c贸digo, secretos e IaC.
CRACI encaja mejor cuando
- Compila en GitHub Actions y quiere el runner, la pol铆tica de egress y el registro de dependencias en un solo lugar.
- Necesita una SBOM de lo que descarg贸 cada build, con un estado de completitud que pueda mostrar a un auditor.
- Quiere monitorizaci贸n de lo distribuido y evidencia para el CRA a partir del mismo registro.
Usar ambos
CRACI sustituye el runner, no GitHub Actions, as铆 que la acci贸n OX Security Scan se ejecuta en un runner de CRACI como cualquier otro paso. OX puede importar SBOM en formato CycloneDX, de modo que CRACI puede aportar la SBOM registrada desde el build para que OX trabaje con ella.
Para el Cyber Resilience Act
El Cyber Resilience Act pide a los fabricantes que conozcan los componentes de cada producto, gestionen sus vulnerabilidades y conserven evidencia. Las SBOM, el PBOM y las pol铆ticas de postura de OX respaldan el desarrollo seguro y un inventario de todo su entorno. CRACI automatiza una parte importante de la visibilidad y la evidencia de la cadena de suministro de software que las empresas necesitan para su proceso m谩s amplio de cumplimiento del CRA: SBOM generadas durante el build y exportadas en CycloneDX o SPDX, seguimiento de vulnerabilidades y procedencia mediante la API. Ninguna de las dos herramientas le hace cumplir por s铆 sola. Consulte evidencia para el CRA y cumplimiento del CRA.
A帽adir CRACI
Instale la GitHub App de CRACI en su organizaci贸n y cambie la etiqueta del runner de un job a runs-on: craci. Las ejecuciones siguen apareciendo en la interfaz de GitHub. Empiece por un workflow que produzca un artefacto de versi贸n y compare la SBOM de CRACI con la que OX muestra para el mismo repositorio. Lea m谩s sobre la integraci贸n con CI/CD, la generaci贸n de SBOM durante el build y los precios.
驴Valora m谩s de dos herramientas? Alternativas a OX Security compara nueve opciones una junto a otra.
Ejecute un build real y compare
Dirija un workflow de GitHub Actions a CRACI y compare su SBOM y su traza de red con el inventario que tiene hoy.
Reservar una demo