CRACI frente a Socket Security

La respuesta corta

Socket Security es conocido sobre todo por detectar paquetes de código abierto malos antes de que lleguen. Analiza el comportamiento de los paquetes (scripts de instalación, acceso a la red y al sistema de archivos, código ofuscado, malware conocido, typosquats), se lo indica en la pull request, y Socket Firewall puede bloquear un paquete malicioso en el momento de la instalación.

CRACI es un runner de CI para GitHub Actions. Sus jobs se ejecutan en él y, mientras tanto, registra cada dependencia externa que descargan, aplica una política de egress al job y sigue haciendo el seguimiento de vulnerabilidades de lo distribuido. Socket pregunta si un paquete es seguro de usar. CRACI registra lo que utilizó un build y a dónde se conectó, y lo convierte en evidencia de la versión.

• Elija Socket para detener los paquetes maliciosos y de riesgo en la pull request y en la instalación.
• Elija CRACI para SBOM generadas durante el build, datos de procedencia, control del egress del build y seguimiento de vulnerabilidades de lo distribuido, incluidas las notificaciones de vulnerabilidades del CRA.
• Son complementarios. Socket examina los paquetes que entran; CRACI registra y limita lo que el build hizo con ellos.

De un vistazo

Lo que Socket hace bien

Socket for GitHub vigila las pull requests. Cuando un cambio añade una dependencia, Socket analiza el comportamiento del paquete y deja un comentario si supone un riesgo de seguridad. Sus comprobaciones cubren scripts de instalación, telemetría, código nativo, malware conocido, typosquats, protestware, código ofuscado y uso de API privilegiadas como el acceso al shell, a la red y al sistema de archivos. Es un tipo de señal distinto del de una consulta de CVE: puede señalar un paquete que es malicioso pero aún no tiene ningún aviso.

Socket Firewall funciona como wrapper de un comando del gestor de paquetes (sfw npm install) o como proxy entre los gestores de paquetes y los registros. Bloquea paquetes maliciosos a cualquier profundidad, incluidos los transitivos. La versión gratuita no necesita clave de API y cubre npm, yarn, pnpm, pip, uv y cargo. La versión Enterprise añade políticas configurables, registros privados y más ecosistemas, como Go, Maven, Gradle, RubyGems y NuGet.

Socket también ofrece análisis de alcanzabilidad en tres niveles: alcanzabilidad de dependencias, alcanzabilidad precalculada desde el plan Team y alcanzabilidad de toda la aplicación en Enterprise, que según Socket puede marcar como irrelevantes hasta el 90 % de las alertas de vulnerabilidades. Detecta manifiestos en JavaScript, Python, Java, Go, Ruby, Rust, .NET, PHP y Swift, y su CLI se ejecuta en GitHub Actions, GitLab, Bitbucket, Jenkins y Azure DevOps. CRACI no analiza el comportamiento de los paquetes, no comenta en las pull requests, no ofrece análisis de alcanzabilidad y hoy no bloquea paquetes individuales.

Precios de Socket, a septiembre de 2026

• Free: 1.000 escaneos al mes, hasta tres miembros, detección y bloqueo de malware.
• Team: $25 por desarrollador al mes, mínimo cinco desarrolladores. Añade puntuación de prioridad, alertas de Slack y alcanzabilidad precalculada.
• Business: $50 por desarrollador al mes, mínimo 20 desarrolladores. Añade importación y exportación de SBOM, integraciones de cumplimiento, SSO y escaneo de GitHub Actions.
• Enterprise: precios a medida. Añade alcanzabilidad de toda la aplicación e integraciones de repositorios para GitLab, Bitbucket y Azure DevOps.

La facturación anual ahorra hasta un 20 %, y Socket dice que siempre será gratuito para los proyectos de código abierto. Socket cobra por desarrollador. CRACI cobra solo por los minutos de build, $0.002 por vCPU-minuto ($0.004 para un runner de 2 vCPU por defecto), sin cuota mensual ni cargo por SBOM; consulte los precios de CRACI.

En qué se diferencia CRACI

El build es la fuente de verdad

Socket lee los manifiestos y lockfiles que declara un proyecto. CRACI observa el build mientras se ejecuta. Un proxy que entiende de paquetes en el runner ve el tráfico hacia las fuentes de paquetes npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk y Git, además de los presets de descarga. La evidencia viaja con las cachés de CI, de modo que un paquete restaurado desde una caché se sigue contabilizando. Cada SBOM indica su completitud por job y por caché: Complete, Complete with connections, Incomplete, Unavailable o Not recorded.

Una política de egress para todo el job

Socket Firewall decide si una instalación de paquete sigue adelante. La política de egress de CRACI decide todo lo que puede alcanzar el job: de denegación o permiso por defecto, con 24 presets integrados de fuentes de software y fuentes personalizadas tipadas para npm, PyPI, apt, apk, el proxy de Go, Nix, Cargo, registros OCI y Git. Las políticas se validan antes de que empiece el job y, si fallan, bloquean, y CRACI puede avisarle de una infracción. Un script de instalación malicioso que intenta contactar con el exterior es un problema de red tanto como de paquetes. Ambos controles cubren partes distintas de él.

Procedencia y seguimiento de vulnerabilidades

La API devuelve SBOM, trazas de red y procedencia. CRACI no firma la procedencia. CRACI agrega las vulnerabilidades de todos los builds y repositorios, sigue reevaluando las SBOM monitorizadas y permite a los equipos de seguridad hacer el triaje de los hallazgos y enviarlos a los equipos responsables de la corrección. Las SBOM de proveedores se monitorizan junto a los builds de su organización, y las SBOM se exportan en CycloneDX o SPDX.

Un inventario de qué está desplegado y dónde

La vista de inventario de CRACI muestra exactamente qué versiones de software están desplegadas en qué productos, a escala global. Cuando aparece una nueva vulnerabilidad, puede ver qué productos ejecutan la versión afectada en lugar de reconstruirlo a partir de notas de versión y hojas de cálculo.

Una nota sobre el comando de SBOM gratuito de Socket

Socket CLI ofrece socket manifest cdxgen, un comando local y gratuito de SBOM que no necesita cuenta. Socket documenta que este comando reenvía la llamada a cdxgen con valores predeterminados distintos: un ciclo de vida previo al build que omite la instalación de dependencias, y JavaScript como tipo de proyecto por defecto. Esos valores deciden lo que puede encontrar, y en un repositorio sin lockfile, como expressjs/express, no hay nada que resolver.

Esto describe un wrapper local y gratuito, no el producto principal de Socket ni su exportación de SBOM del lado del servidor.

Cuál encaja mejor

• Quiere detener los paquetes maliciosos en la entrada: Socket, con sus comprobaciones de pull requests y Socket Firewall.
• Quiere menos alertas de CVE irrelevantes gracias a la alcanzabilidad: Socket, en Team o Enterprise. CRACI no ofrece análisis de alcanzabilidad.
• Necesita evidencia de lo que entró en cada versión: CRACI la registra desde el build y la vincula al artefacto.
• Quiere builds que no puedan alcanzar hosts inesperados: la política de egress de CRACI.
• Distribuye productos sujetos al Cyber Resilience Act: CRACI hace el seguimiento de vulnerabilidades de lo distribuido y presenta las notificaciones de vulnerabilidades del CRA en su nombre.
• Utiliza GitLab, Jenkins o Azure DevOps: Socket los admite hoy. CRACI solo es compatible hoy con GitHub Actions, con GitLab CI y Jenkins en la hoja de ruta.

Para el Cyber Resilience Act

Mantener los componentes maliciosos y de riesgo fuera de un producto ayuda a un fabricante a cumplir sus obligaciones de seguridad, y Socket está hecho para eso. CRACI automatiza una parte importante de la visibilidad y la evidencia de la cadena de suministro de software que las empresas necesitan para su proceso más amplio de cumplimiento del CRA: SBOM generadas durante el build con su completitud indicada, datos de procedencia, seguimiento continuo de vulnerabilidades y notificaciones de vulnerabilidades del CRA presentadas en su nombre. Ninguna de las dos herramientas hace que un producto cumpla por sí sola. Consulte qué es el CRA y cumplimiento del CRA.

Usar CRACI con Socket

CRACI sustituye el runner, no GitHub Actions: las ejecuciones siguen apareciendo en GitHub, y Socket sigue comprobando sus pull requests. Socket examina los paquetes antes de que se añadan y mientras se instalan; CRACI registra lo que descargó cada build, limita a dónde puede conectarse y sigue haciendo el seguimiento de vulnerabilidades de lo distribuido. Lea más sobre la generación de SBOM durante el build y el seguimiento de vulnerabilidades.

¿También valora otras herramientas de seguridad de paquetes? Consulte Alternativas a Socket.

Socket Security y CRACI: preguntas frecuentes

Precios, SBOM y dónde encaja cada herramienta

¿Qué es Socket Security?

Socket (socket.dev) es una plataforma de seguridad de la cadena de suministro de software para dependencias de código abierto. Analiza lo que hacen realmente los paquetes, como scripts de instalación, acceso a la red y al sistema de archivos, código ofuscado, malware conocido y typosquats, y señala o bloquea los paquetes de riesgo en las pull requests, en el CI y, con Socket Firewall, en el momento de la instalación.

¿Socket Security es gratuito?

Socket tiene un plan gratuito con 1.000 escaneos al mes y hasta tres miembros, y Socket dice que siempre será gratuito para los proyectos de código abierto. Socket Firewall también tiene una versión gratuita que no necesita clave de API y cubre npm, yarn, pnpm, pip, uv y cargo. Los planes de pago añaden alcanzabilidad, exportación de SBOM y más integraciones.

¿Cuánto cuesta Socket?

A septiembre de 2026, la página de precios de Socket indica Team a $25 por desarrollador al mes (mínimo cinco desarrolladores), Business a $50 por desarrollador al mes (mínimo 20) y precios Enterprise a medida, con hasta un 20 % de descuento en la facturación anual. La exportación de SBOM empieza en Business, y las integraciones de repositorios de GitLab, Bitbucket y Azure DevOps están en Enterprise.

¿Socket genera SBOM?

Sí. La importación y exportación de SBOM están en el plan Business de Socket y superiores, y su API de exportación CycloneDX está etiquetada como beta. Socket crea la SBOM a partir de los manifiestos y lockfiles que detecta. CRACI registra la SBOM mientras se ejecuta el build, a partir de los paquetes que el job descargó realmente, e indica si el registro de cada job está completo.

¿CRACI detecta paquetes maliciosos como Socket?

No como Socket. CRACI señala una versión maliciosa una vez que tiene un CVE publicado, como cualquier otra vulnerabilidad, pero no analiza el comportamiento de los paquetes ni les asigna puntuaciones, de modo que un paquete malicioso nuevo no se señala hasta que existe un aviso. Controla a qué puede conectarse un build con una política de egress a nivel de runner que bloquea si falla, registra cada paquete que descargó el build y sigue reevaluando lo distribuido con datos de vulnerabilidades. Las listas de bloqueo de paquetes para toda la organización están en la hoja de ruta.

¿CRACI es una alternativa a Socket?

No para examinar paquetes antes de añadirlos: ese es el trabajo principal de Socket y CRACI no lo hace. CRACI es la opción cuando necesita evidencia de lo que entró en cada versión: SBOM generadas durante el build, datos de procedencia, una política de egress para el build, seguimiento continuo de vulnerabilidades y notificaciones de vulnerabilidades del CRA. Los equipos preocupados por los paquetes maliciosos pueden ejecutar Socket en las pull requests y compilar en CRACI.

¿Qué sistemas de CI admiten Socket y CRACI?

La CLI de Socket se ejecuta en GitHub Actions, GitLab, Bitbucket, Jenkins y Azure DevOps. CRACI es hoy un runner para GitHub Actions, con GitLab CI y Jenkins en la hoja de ruta.