Herramientas y plataformas de seguridad de la cadena de suministro de software (2026)

Para quién es esta página

Usted tiene el encargo de «proteger nuestra cadena de suministro de software» y debe decidir adónde va el presupuesto. Las herramientas siguientes actúan en puntos distintos: en sus repositorios y pipelines, en el runner de build, en el registro de paquetes o en el artefacto terminado. Nosotros desarrollamos CRACI, que compite directamente en esta categoría, así que téngalo en cuenta. Describimos cada herramienta a partir de su propia documentación e indicamos dónde encaja mejor otra.

¿Qué es la seguridad de la cadena de suministro de software?

Para ver la guía completa, consulte qué es la seguridad de la cadena de suministro de software y la lista de comprobación de buenas prácticas.

Su software es su propio código más todo aquello de lo que depende: paquetes de código abierto, imágenes base, herramientas de build, acciones de CI de terceros y el pipeline que los convierte en una versión. La seguridad de la cadena de suministro de software es el trabajo de saber cuáles son esas piezas, controlar de dónde proceden y demostrar qué entró en cada versión. La seguridad de aplicaciones busca fallos en el código que usted escribe; la seguridad de la cadena de suministro cubre lo que lo rodea.

Los atacantes van a por todos los eslabones. Tres incidentes recientes muestran dónde:

• Una dependencia. En marzo de 2024 se encontró código malicioso en las versiones 5.6.0 y 5.6.1 de xz utils, una biblioteca de compresión incluida en distribuciones de Linux (CVE-2024-3094).
• El pipeline de CI. En marzo de 2025 se comprometió la GitHub Action tj-actions/changed-files (CVE-2025-30066), lo que expuso secretos como claves de acceso, tokens de acceso personal de GitHub y tokens de npm de los workflows que la utilizaban.
• El registro de paquetes. En septiembre de 2025, el gusano autorreplicante Shai-Hulud comprometió más de 500 paquetes npm. Robó credenciales de desarrolladores, incluidos tokens de GitHub y claves de nube, y las usó para publicar más paquetes infectados.

1:53

¿Qué tipos de herramientas de seguridad de la cadena de suministro de software existen?

Ningún producto cubre todos los eslabones, y los proveedores siguientes entienden cosas distintas por «seguridad de la cadena de suministro». La mayoría de las soluciones entran en uno de siete tipos, definidos por el lugar donde actúan.

¿Cómo elegir una plataforma de seguridad de la cadena de suministro de software?

Empiece por la pregunta que hoy no puede responder y elija la herramienta que actúa donde está esa respuesta. Seis preguntas separan rápidamente las opciones.

• ¿Necesita amplitud o profundidad? Una plataforma de gestión de la postura de seguridad de aplicaciones (ASPM) se conecta a sus repositorios, pipelines y escáneres y prioriza el riesgo en todos ellos. Una herramienta a nivel de build profundiza en un punto: qué ocurrió mientras se compilaba el software.
• ¿Quiere conservar sus runners? Los agentes como StepSecurity Harden-Runner y Cimon de Cycode añaden monitorización a los runners que ya utiliza. CRACI sustituye al runner en GitHub Actions.
• ¿El riesgo está en sus entradas? Si lo que más le preocupa son los paquetes maliciosos o las imágenes base llenas de CVE, las herramientas que examinan o refuerzan las entradas atacan directamente ese problema.
• ¿Distribuye software que usted no compiló? Solo el análisis binario puede examinar un paquete por dentro sin su build.
• ¿Qué sistemas de CI utiliza? La mayoría de las herramientas de esta página cubren varios. CRACI es compatible hoy solo con GitHub Actions, con GitLab CI y Jenkins en la hoja de ruta.
• ¿Qué tendrá que demostrar y ante quién? Los clientes, los auditores y normativas como el Cyber Resilience Act de la UE piden cada vez más una SBOM por versión y un registro de cómo se gestionaron las vulnerabilidades. Un panel de hallazgos no es lo mismo que una evidencia de lo distribuido.

Después, haga las mismas preguntas a todos los proveedores de su lista:

• ¿De dónde sale su lista de componentes: manifiestos, análisis del código fuente, el build o el binario terminado?
• ¿La SBOM me dice cuándo está incompleta y se exporta en CycloneDX o SPDX?
• ¿Puede impedir que un build llegue a un host inesperado, o solo informar de ello después?
• ¿Puedo verificar más adelante que el artefacto que despliego es el que se compiló?
• ¿Qué sistemas de control de código fuente y de CI admite hoy y cuáles están en la hoja de ruta?
• ¿Cuál es la unidad de precio: desarrolladores, colaboradores, imágenes, builds o un presupuesto?

¿Cómo se comparan las herramientas?

Las herramientas tienen dos formas, así que hay dos tablas. La primera compara las plataformas y las herramientas de seguridad del build según cómo ven y controlan el pipeline. La segunda compara las herramientas que actúan sobre las entradas y las salidas. «No indicado» significa que las páginas de los proveedores que citamos no dicen ni una cosa ni otra.

Plataformas y seguridad del build

Entradas y salidas

¿Cuánto cuestan las herramientas de seguridad de la cadena de suministro de software?

Cinco de las nueve herramientas siguientes cobran por desarrollador, y la mayoría ofrece sus planes de pago a través de su equipo comercial. CRACI, en cambio, solo cobra por los minutos de build, de modo que el coste depende de cuánto compila usted y no de cuántas personas hacen commits. Los precios son los que cada proveedor publicó en septiembre de 2026; Apiiro y Legit Security quedan fuera porque sus páginas no indican precios.

Los precios por desarrollador crecen con su equipo; los precios por minuto de build crecen con sus pipelines. El precio de CRACI incluye los minutos de runner, que sustituyen lo que paga por los runners alojados por GitHub. Consulte los precios de CRACI y la comparativa de precios de runners. Para ver gráficos de los precios publicados por tamaño de equipo, con el runner incluido, consulte la comparativa de precios de seguridad de la cadena de suministro de software.

CRACI

CRACI es un runner para GitHub Actions. Usted cambia runs-on a craci y, mientras se ejecuta cada job, un proxy que entiende de paquetes registra lo que descargó, incluidos los paquetes restaurados desde cachés de CI. Cada SBOM lleva un estado de completitud por job y por caché, una política de egress se valida antes de que empiece el job y, si falla, bloquea, y CRACI sigue reevaluando las SBOM de lo distribuido. Ideal para equipos que distribuyen software y deben mostrar qué entró en cada versión. Tenga en cuenta: no ofrece SAST, escaneo de secretos ni de IaC, comprobaciones de postura ni análisis binario, y hoy solo admite GitHub Actions (GitLab CI y Jenkins están en la hoja de ruta). Generación de SBOM durante el build

Plataformas y ASPM

Apiiro

Apiiro es una plataforma ASPM. Deep Code Analysis mapea su arquitectura desde el código hasta el runtime, y Risk Graph correlaciona los hallazgos de los escáneres de Apiiro y de herramientas de terceros en «combinaciones tóxicas». Su módulo de cadena de suministro inventaría repositorios y pipelines, incluidos los pipelines en la sombra, y señala las protecciones de rama débiles y los commits anómalos. Se conecta mediante API y no requiere cambios en el CI. Ideal para grandes programas de AppSec que quieren contexto de arquitectura en muchos sistemas de control de código fuente. Tenga en cuenta: su inventario procede de analizar el código, no de observar los builds, y no controla a qué puede llegar un build. CRACI frente a Apiiro

Cycode

Cycode es una plataforma ASPM con SAST, SCA, escaneo de secretos, contenedores e IaC, postura de CI/CD y más de 100 conectores. Su pieza para el build, Cimon, es un agente eBPF que se ejecuta dentro de sus jobs de CI. Monitoriza los procesos, el egress de red y el acceso a archivos, aprende el comportamiento normal de un pipeline antes de aplicarlo, produce una SBOM observada en tiempo de ejecución y firma procedencia SLSA. Cycode afirma que Cimon es gratuito y de código abierto. Ideal para una sola plataforma para el código y muchos sistemas de CI, con protección del build en tiempo de ejecución en los runners que conserve. Tenga en cuenta: Cimon es un agente añadido a sus runners, no el propio runner. CRACI frente a Cycode

OX Security

OX Security es una plataforma ASPM con sus propios escáneres, agregación de hallazgos de terceros de herramientas como Checkmarx, Snyk y Black Duck, y políticas de postura de CI/CD que señalan acciones sin fijar, permisos excesivos en los workflows y webhooks de riesgo. Su Pipeline Bill of Materials (PBOM) es un registro firmado por build de las definiciones del pipeline, la identidad del runner, los argumentos de build y las firmas de artefactos. Ideal para políticas de postura y control de pull requests en GitHub Actions, GitLab, Jenkins, Azure Pipelines y CircleCI. Tenga en cuenta: su SBOM se recopila de fuentes conectadas, y sus políticas comprueban la configuración del pipeline en lugar de limitar a qué puede llegar un job en ejecución. CRACI frente a OX Security y Alternativas a OX Security

Legit Security

Legit Security mapea todo su ciclo de vida de desarrollo: un inventario continuamente actualizado de sistemas de SDLC, pipelines y los controles de seguridad que tienen, con cientos de políticas para el control de código fuente, el CI y los registros. Orquesta escáneres como Snyk, Checkmarx y GitHub Advanced Security, añade SAST y SCA nativos, encuentra secretos en registros de build, Slack y Confluence además de en el código, y crea SBOM y atestaciones firmadas. Ideal para un equipo de seguridad que ha heredado muchos repositorios y varios sistemas de CI y necesita una sola capa de gobernanza. Tenga en cuenta: lee la configuración y la salida de los escáneres mediante API, así que no ve el tráfico de red de un job mientras se ejecuta. CRACI frente a Legit Security y Alternativas a Legit Security

Kusari

Kusari procede del equipo que cocreó GUAC, el grafo de OpenSSF para metadatos de la cadena de suministro. Su plataforma crea un grafo de conocimiento a partir de sus SBOM, documentos VEX y salidas de escáneres, muestra el radio de impacto de una nueva vulnerabilidad, analiza la alcanzabilidad y abre pull requests de AutoFix que valida primero. Kusari Inspector revisa las pull requests en busca de paquetes maliciosos, secretos y workflows inseguros, y Kusari afirma que su instalación es gratuita. Ideal para un solo grafo para muchas fuentes de SBOM y escáneres. Tenga en cuenta: un grafo refleja las SBOM que recibe, y las de Kusari proceden de un generador (su kit de herramientas waybill o su propia herramienta) y no del build. CRACI frente a Kusari y Alternativas a Kusari

Endor Labs

Endor Labs se centra en la alcanzabilidad a nivel de función: el análisis estático de programas determina si su código puede invocar una función vulnerable en una dependencia directa o transitiva, lo que según Endor Labs reduce los hallazgos de SCA en un 92 %. El análisis del impacto de las actualizaciones, las pull requests automatizadas y Endor Patches, que retroportan correcciones a la versión que usted ejecuta, se encargan de la corrección. También cubre AI SAST, secretos, contenedores, un Package Firewall delante de sus registros y un SBOM Hub con VEX basado en la alcanzabilidad. Ideal para equipos cuyo principal problema es el volumen de alertas. Tenga en cuenta: su inventario procede de analizar el código fuente, y no ejecuta ni restringe sus builds. CRACI frente a Endor Labs

Seguridad del build y de los runners

StepSecurity

StepSecurity Harden-Runner es el mayor solapamiento que tiene CRACI con cualquier proveedor de seguridad. Es un agente en los runners de GitHub Actions que usted ya utiliza, incluidos los alojados por GitHub, y vincula cada conexión saliente, proceso y escritura de archivo con el paso del workflow que los causó. Puede auditar primero, creando una línea de base por job, y después bloquear el egress a todo lo que quede fuera de una lista de permitidos. StepSecurity también vende Secure Registry, pull requests de refuerzo de repositorios y Dev Machine Guard. Ideal para equipos que quieren conservar runners alojados por GitHub o autoalojados, o que utilizan GitLab CI o Azure DevOps. Tenga en cuenta: su lista de permitidos es una lista de endpoints, y registra destinos en lugar de una SBOM a nivel de paquete. CRACI frente a StepSecurity

Seguridad de paquetes y entradas

Socket

Socket analiza cómo se comportan los paquetes de código abierto: scripts de instalación, acceso a la red y al sistema de archivos, código ofuscado, malware conocido y typosquats. Señala las incorporaciones de riesgo en las pull requests, y Socket Firewall bloquea los paquetes maliciosos durante la instalación, con una versión gratuita para npm, yarn, pnpm, pip, uv y cargo. También ofrece análisis de alcanzabilidad. Ideal para detener los paquetes malos antes de que lleguen, incluidos los que aún no tienen aviso de seguridad. Tenga en cuenta: lee los manifiestos y lockfiles que declara un proyecto, y su firewall filtra las instalaciones de paquetes, no el resto del tráfico de red de un job. CRACI frente a Socket

Chainguard

Chainguard compila software de código abierto desde el código fuente y lo distribuye reforzado: imágenes de contenedor que llama zero-CVE, bibliotecas de Java, Python y JavaScript recompiladas a partir de código fuente verificado, imágenes de máquina virtual y GitHub Actions reforzadas, cada una con una SBOM firmada y procedencia SLSA. A los clientes con un pedido se compromete a corregir las CVE críticas en 7 días y las de otra gravedad en 14 días desde un parche válido. Ideal para equipos cuyos escáneres no dejan de señalar CVE en las imágenes base. Tenga en cuenta: sus SBOM y su procedencia describen los artefactos de Chainguard. Su propio build sigue necesitando su propio registro, y por eso combina bien con una herramienta a nivel de build. CRACI y Chainguard

Análisis binario

ReversingLabs

ReversingLabs Spectra Assure analiza paquetes de software terminados sin código fuente, mediante análisis binario estático, 16 motores de detección de malware y un análisis diferencial que señala los cambios sospechosos entre versiones. Exporta SBOM en CycloneDX y SPDX a partir del binario y puede evaluar software comercial y de terceros antes de que usted lo despliegue. Ideal para un control de lanzamiento contra malware y manipulaciones, y para software que usted no compiló. Tenga en cuenta: trabaja hacia atrás a partir de la salida, de modo que no ve las herramientas de build ni las dependencias de prueba que el build descargó pero no distribuyó. CRACI frente a ReversingLabs

Marcos y normativas detrás de la categoría

Gran parte de la demanda de estas herramientas procede de marcos y normas que piden un inventario de componentes, un registro de cómo se compiló el software y un proceso para gestionar las vulnerabilidades.

• SLSA (Supply-chain Levels for Software Artifacts) es un conjunto de directrices de adopción gradual, mantenido como colaboración intersectorial bajo la Linux Foundation. Su Build track califica lo fiable que es la procedencia de un build.
• NIST SSDF (SP 800-218, versión 1.1, febrero de 2022) establece prácticas de desarrollo seguro de software para reducir las vulnerabilidades en el software publicado.
• La Orden Ejecutiva 14028 de EE. UU., sección 4(e), ordenó elaborar directrices sobre la cadena de suministro de software que incluyen entregar al comprador una SBOM de cada producto. Da forma a las directrices federales de contratación, pero no vincula directamente a todos los proveedores.
• CISA, NSA y ODNI publicaron «Securing the Software Supply Chain: Recommended Practices Guide for Customers» en 2023, que abarca contratación, pruebas, despliegue, parches y SBOM.
• El Cyber Resilience Act de la UE (Reglamento (UE) 2024/2847) aplica sus obligaciones de notificación desde el 11 de septiembre de 2026 y se aplica en su totalidad desde el 11 de diciembre de 2027.
• NIS2, en su artículo 21(2), incluye la seguridad de la cadena de suministro y la gestión de vulnerabilidades entre las medidas que exige, y la FDA de EE. UU. exige una SBOM a los fabricantes de dispositivos cibernéticos.

Ninguno de estos marcos menciona una categoría de producto. Lo que tienen en común es la evidencia: una lista de componentes precisa por versión, un registro de cómo se compiló y la prueba de que se hizo el seguimiento de las vulnerabilidades.

¿Dónde encaja CRACI?

CRACI es un runner para GitHub Actions. Usted cambia runs-on a craci y, mientras se ejecuta cada job, un proxy que entiende de paquetes registra lo que descargó, incluidos los paquetes restaurados desde cachés de CI. Cada SBOM lleva un estado de completitud por job y por caché. Una política de egress, de denegación o permiso por defecto, se valida antes de que empiece el job y, si falla, bloquea. CRACI sigue reevaluando las SBOM de lo distribuido. La vista de inventario de CRACI muestra exactamente qué versiones de software están desplegadas en qué productos, a escala global. El resultado es una SBOM por build, un registro de a qué llegó cada build y datos de procedencia desde la API, lo que automatiza una parte importante de la visibilidad y la evidencia de la cadena de suministro que necesita su proceso del CRA.

CRACI no es la opción adecuada si necesita SAST, escaneo de secretos o de IaC, comprobaciones de postura en sus repositorios, un modo de auditoría antes de bloquear, listas de bloqueo de paquetes (en la hoja de ruta), análisis binario o, hoy, sistemas de CI distintos de GitHub Actions (GitLab CI y Jenkins están en la hoja de ruta). Muchos equipos lo combinan con una de las herramientas anteriores: una plataforma ASPM para el código y la postura, Socket o Chainguard para las entradas, ReversingLabs para la salida. Más información sobre la generación de SBOM durante el build, la integración con CI/CD y los precios, o reserve una demo para ver un build registrado de principio a fin.

Compare herramientas para cada parte de la cadena de suministro

Esta página es la visión general. Cada área tiene su propia comparativa y sus guías más detalladas.

• SBOM: la comparativa de herramientas de SBOM, la generación de SBOM durante el build, por qué SBOM durante el build y cómo generar una SBOM en GitHub Actions.
• Runners y seguridad de CI/CD: proveedores de runners de GitHub Actions, herramientas de seguridad de runners, lista de comprobación de seguridad del pipeline de CI/CD y política de egress para GitHub Actions.
• Dependencias: la comparativa de herramientas de SCA, las dependencias transitivas explicadas y qué es el análisis de composición de software.
• Normativa: herramientas de cumplimiento del CRA.
• Por qué el build: por qué la seguridad de la cadena de suministro pertenece al CI, seguridad de la cadena de suministro de software con CRACI y por qué también la necesita el software interno y de bajo riesgo.

CRACI comparado con cada herramienta

• CRACI frente a Apiiro Grafo de riesgos a partir del código frente a evidencias del build.
• CRACI frente a Cycode ASPM más un agente de build frente al propio runner del build.
• CRACI frente a OX Security PBOM a partir de herramientas conectadas frente a un registro del runner.
• CRACI frente a Legit Security Proteger el SDLC frente a registrar el build.
• CRACI frente a Kusari Grafo de la cadena de suministro frente a SBOM del build con monitorización.
• CRACI frente a ReversingLabs Análisis binario del resultado frente a evidencias del build.
• CRACI frente a Socket Análisis del comportamiento de paquetes frente a observación del build.
• CRACI frente a Chainguard Entradas seguras frente a un build seguro y registrado.
• CRACI frente a Xygeni Plataforma AppSec con atestaciones de build frente a ser el runner del build.
• CRACI frente a Wiz Hallazgos de postura de los workflows frente a control dentro del job.
• CRACI frente a Safeguard Escaneo y corrección automática con IA frente a registrar el propio build.

Seguridad de la cadena de suministro de software: preguntas frecuentes

Respuestas breves a las preguntas que más hacen los compradores

¿Qué son las soluciones de seguridad de la cadena de suministro de software?

Herramientas que protegen todo lo que entra en su software entre el primer commit y el lanzamiento: dependencias de código abierto, imágenes base, herramientas de build, pipelines de CI y los artefactos que distribuye. Los principales tipos son las plataformas ASPM, que mapean el riesgo en todo el ciclo de vida de desarrollo, el análisis de composición de software para las dependencias, la seguridad del build y de los runners, los firewalls de paquetes, las imágenes reforzadas, el análisis binario y las herramientas de SBOM y procedencia.

¿Cuál es la mejor plataforma de seguridad de la cadena de suministro de software?

No hay una sola mejor, porque cada una cubre un eslabón distinto. Las plataformas ASPM como Apiiro, Cycode, OX Security y Legit Security destacan por su amplitud en repositorios y sistemas de CI. Endor Labs se centra en la alcanzabilidad de los hallazgos de dependencias, Socket en los paquetes maliciosos, Chainguard en las entradas reforzadas y ReversingLabs en los binarios terminados. CRACI es la opción cuando necesita un registro de lo que incorporó realmente cada build de GitHub Actions, con control de egress y datos de procedencia.

¿En qué se diferencia la seguridad de la cadena de suministro de software de la seguridad de aplicaciones?

La seguridad de aplicaciones busca fallos en el código que escribe su equipo, con herramientas como SAST y DAST. La seguridad de la cadena de suministro de software cubre lo que rodea a ese código: los componentes de terceros, el sistema de build, el pipeline de CI y el camino del build al lanzamiento. La puerta trasera de xz utils, el compromiso de tj-actions/changed-files y el gusano de npm Shai-Hulud entraron por la cadena de suministro, no por un error en el código de las propias víctimas.

¿Con qué herramienta de seguridad de la cadena de suministro de software debo empezar?

Empiece por la pregunta que hoy no puede responder. Si no sabe qué dependencias vulnerables distribuye, empiece por el SCA. Si lo que más le preocupa son los paquetes maliciosos, valore un firewall de paquetes. Si tiene que demostrar qué entró en cada versión, ante los clientes o por el Cyber Resilience Act de la UE, necesita un registro tomado durante el build. Los grandes programas con muchos repositorios y sistemas de CI suelen añadir una plataforma ASPM por encima.

¿Necesito una SBOM para la seguridad de la cadena de suministro de software?

Cada vez más, sí. El Cyber Resilience Act de la UE exige a los fabricantes identificar los componentes de sus productos, también mediante la elaboración de una SBOM, y gestionar sus vulnerabilidades. La FDA de EE. UU. exige una SBOM para los dispositivos cibernéticos, y la Orden Ejecutiva 14028 de EE. UU. dio forma a directrices federales que piden una a los proveedores. Una SBOM solo es útil en la medida en que es completa, así que pregunte a cada proveedor de dónde sale su lista de componentes y si le avisa cuando la lista está incompleta.

¿En qué se diferencia CRACI de un escáner de seguridad de la cadena de suministro?

Los escáneres leen archivos a posteriori: un manifiesto, un lockfile, el código fuente o un binario terminado. CRACI es un registrador. Es el runner de sus jobs de GitHub Actions y, mientras se ejecuta cada job, registra los paquetes que el job incorporó realmente, incluidos los restaurados desde cachés de CI. Cada SBOM indica su propia completitud, una política de egress controla a qué puede llegar el build y la API devuelve SBOM, trazas de red y procedencia.

¿Con qué sistemas de CI es compatible CRACI?

Hoy con GitHub Actions; otros sistemas de CI están en la hoja de ruta, entre ellos GitLab CI y Jenkins. Los runners son Linux en x86-64 y ARM64, con Windows y macOS en la hoja de ruta. La mayoría de las plataformas de esta página cubren varios sistemas de CI, así que téngalo en cuenta si también utiliza Jenkins o Azure Pipelines.

¿Cuánto cuestan las herramientas de seguridad de la cadena de suministro de software?

La mayoría cobra por desarrollador. A septiembre de 2026, StepSecurity Enterprise cuesta $16 por desarrollador colaborador al mes y Socket Team $25 por desarrollador al mes, mientras que Cycode, OX Security y Endor Labs ofrecen sus planes de pago a través de su equipo comercial. ReversingLabs Community+ cuesta una tarifa fija de $500 al mes, Chainguard ofrece hasta cinco imágenes gratis y CRACI solo cobra por los minutos de build, $0.002 por vCPU-minuto ($0.004 para un runner de 2 vCPU por defecto), sin cuota mensual.