CRACI frente a Renovate

La respuesta corta

Renovate está hecho para la higiene de dependencias: encuentra archivos de paquetes, abre pull requests de actualización y le permite controlar el ruido con programaciones, agrupación y automerge. CRACI es un runner de GitHub Actions que registra lo que descargó cada build y monitoriza esas SBOM en busca de nuevas vulnerabilidades. Renovate pregunta «¿hay una versión más reciente?». CRACI pregunta «¿hay algo vulnerable en lo que hemos compilado y distribuido, y dónde?». No compiten por el mismo trabajo y funcionan en paralelo: Renovate abre las pull requests de actualización y CRACI le dice qué builds necesitan una.

Lo que Renovate hace bien

La documentación de Renovate empieza con "Automated dependency updates. Multi-platform and multi-language." Y hace honor a ambas partes. Renovate "looks for references to dependencies (both public and private)" en su repositorio y, cuando existen versiones más recientes, abre pull requests que actualizan esas dependencias y sus lockfiles.

• Amplitud. Más de 90 gestores de paquetes, y repositorios en GitHub, GitLab, Bitbucket, Azure DevOps, Gitea y Forgejo, con AWS CodeCommit, Gerrit y SCM-Manager como experimentales.
• Control. Presets de configuración compartibles, packageRules para definir el comportamiento por paquete, programaciones para limitar cuándo aparecen las pull requests y automerge para las actualizaciones de confianza. Su documentación señala que la mayoría de los equipos dejan las actualizaciones mayores en manos de una persona.
• Visibilidad. Una issue de Dependency Dashboard, activada por defecto en config:recommended, e información para decidir qué actualizaciones aceptar: antigüedad, adopción, tasas de éxito y merge confidence.
• Alcance. Los gestores personalizados cubren formatos de archivo propietarios y formatos populares que Renovate aún no admite.
• Opciones de despliegue. Código abierto con licencia AGPL-3.0 y mantenido por Mend. Puede ejecutar usted mismo la CLI o la imagen de Docker, usar la aplicación en la nube gratuita Mend Renovate Community en GitHub.com y Bitbucket Cloud, o ejecutar las ediciones autoalojadas Community o Enterprise, esta última de pago.

Cómo gestiona Renovate las vulnerabilidades

Renovate tiene dos vías para las correcciones de seguridad. Con vulnerabilityAlerts, lee las alertas de vulnerabilidades de GitHub, lo que requiere tener activados el grafo de dependencias y las alertas de Dependabot. Esas pull requests "skip the line": ignoran las programaciones y los límites por hora y, por defecto, pasan a la versión corregida más baja. Con osvVulnerabilityAlerts, comprueba las dependencias con la base de datos OSV, que descarga y consulta sin conexión. La documentación es precisa sobre el límite: "You will only get OSV-based vulnerability alerts for direct dependencies", para un conjunto determinado de fuentes de datos.

CRACI no sustituye nada de esto y no abre pull requests. Si su objetivo es mantener al día cientos de repositorios con el mínimo esfuerzo, Renovate está hecho para eso.

En qué se diferencia CRACI

Parte del build, no de los archivos de paquetes

Renovate trabaja con lo que declara su repositorio. Un build suele hacer más que eso: resuelve versiones en el momento de la instalación, restaura paquetes desde cachés y descarga herramientas, paquetes del sistema operativo e imágenes que ningún manifiesto enumera. expressjs/express 5.2.1 muestra la diferencia en su forma más simple: no incluye ningún lockfile en el repositorio, así que un generador dirigido a un checkout limpio no tiene nada que resolver y no informa de ninguna de sus dependencias npm, por bien que funcione la herramienta. CRACI no se puede comparar de esa manera, porque registra builds en lugar de escanear directorios. Los archivos de un repositorio y los paquetes de un build no son la misma lista.

CRACI ejecuta el build. Usted cambia runs-on a craci, y un proxy que entiende de paquetes registra lo que cada job descarga de fuentes npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk y Git, además de los presets de descarga. Cada job y cada caché obtienen un estado de completitud: Complete, Complete with connections, Incomplete, Unavailable o Not recorded.

Monitorizar lo que distribuyó

CRACI agrega las vulnerabilidades de todos los builds y repositorios y sigue reevaluando las SBOM monitorizadas a medida que aparecen nuevos avisos. Cuando aparece uno, usted ve qué builds y repositorios utilizaron realmente el paquete afectado, incluidos los paquetes que ningún manifiesto enumera, y los equipos de seguridad pueden hacer el triaje del hallazgo y enviarlo al equipo responsable de la corrección. El desencadenante es una vulnerabilidad en algo que un build utilizó realmente, no la llegada de una nueva versión.

Más que monitorización

Como CRACI es el runner, también aplica una política de egress por job (de denegación o permiso por defecto, validada antes de que empiece el job y que bloquea si falla), devuelve SBOM, trazas de red y procedencia mediante su API, y exporta SBOM en CycloneDX o SPDX. Nada de eso es trabajo de Renovate.

Un inventario de qué está desplegado y dónde

La vista de inventario de CRACI muestra exactamente qué versiones de software están desplegadas en qué productos, a escala global. Cuando aparece una nueva vulnerabilidad, puede ver qué productos ejecutan la versión afectada en lugar de reconstruirlo a partir de notas de versión y hojas de cálculo.

Usar los dos

• Renovate mantiene al día cada dependencia de forma programada, en todas sus plataformas y gestores de paquetes, con automerge para las actualizaciones de bajo riesgo.
• CRACI registra cada build de GitHub Actions, monitoriza lo distribuido y le indica a qué builds y equipos afecta una nueva vulnerabilidad, para que sepa qué pull requests de actualización fusionar primero.

No hay nada que migrar. Renovate sigue leyendo sus repositorios, y sus workflows siguen ejecutándose en GitHub Actions en otro runner.

Para el Cyber Resilience Act

El CRA espera que los fabricantes sepan qué hay en cada versión y gestionen sus vulnerabilidades. Renovate ayuda manteniendo las dependencias parcheadas y al día. CRACI registra la SBOM de cada build, la monitoriza en busca de nuevas vulnerabilidades y conserva la evidencia. Automatiza una parte importante de la visibilidad y la evidencia de la cadena de suministro de software que las empresas necesitan para su proceso más amplio de cumplimiento del CRA. Consulte qué es el CRA y el seguimiento de vulnerabilidades.