SBOM
CycloneDX vs SPDX
CycloneDX y SPDX son los dos formatos de SBOM que admiten casi todas las herramientas. Ambos describen los componentes de un software y cómo se relacionan. Se diferencian en su origen, en qué más incluyen y en qué organismo de normalización los respalda.
Actualizado el
La respuesta corta
Utilice el formato que le pidan sus clientes, sus reguladores o sus herramientas. Si nadie lo pide, CycloneDX es la opción más habitual para el trabajo de seguridad porque admite VEX de forma nativa, y SPDX es la más habitual cuando manda el cumplimiento de licencias. La mayoría de los generadores, incluido CRACI, pueden producir ambos.
Frente a frente
| Función | CycloneDX | SPDX |
|---|---|---|
| Mantenido por | OWASP Foundation y Ecma International | Linux Foundation |
| Estándar | ECMA-424 | ISO/IEC 5962:2021 |
| Versión actual | 1.7, octubre de 2025 | 3.0, abril de 2024 |
| Dónde empezó | Seguridad y riesgo de la cadena de suministro | Cumplimiento de licencias |
| Tipos de inventario | SBOM, SaaSBOM, HBOM y más | Perfiles para seguridad, build, conjuntos de datos e IA |
| Datos de vulnerabilidades | VEX integrado | Perfil de seguridad en 3.0 |
| Codificaciones | JSON, XML, Protocol Buffers | Varias, incluida JSON |
CycloneDX
CycloneDX lo desarrolla la OWASP Foundation y lo normaliza Ecma International como ECMA-424. La versión 1.7 se publicó en octubre de 2025. Partió de la seguridad y el riesgo de la cadena de suministro, y cubre más que el software: SBOM, SaaSBOM para servicios y HBOM para hardware. Es compatible con VEX, de modo que el mismo formato puede indicar si una vulnerabilidad afecta a un producto. Se serializa como JSON, XML o Protocol Buffers.
SPDX
SPDX es un proyecto de código abierto alojado por la Linux Foundation y reconocido como el estándar internacional ISO/IEC 5962:2021. Partió del cumplimiento de licencias, y sus identificadores de licencia se utilizan mucho más allá de las SBOM. SPDX 3.0, publicado en abril de 2024, añadió perfiles para seguridad, build, conjuntos de datos e IA.
Vea: conceptos básicos de SBOM
De nuestra charla en KCD Helsinki: qué registra una SBOM, en qué se diferencian SPDX y CycloneDX en la práctica y qué añade OpenVEX.
SBOM basics: SPDX, CycloneDX and OpenVEX
Petteri Pulkkinen y Erika Marttinen en Kubernetes Community Days Helsinki 2026, 16:50 a 22:05 de SBOMbastic: Getting Ready for Upcoming EU Cybersecurity Regulation in Software Supply Chains.
Qué aceptan los reguladores
El Cyber Resilience Act de la UE pide una SBOM en «un formato de uso común y legible por máquina» y no nombra ninguno. La directriz alemana BSI TR-03183-2, versión 2.1.0, es más concreta: CycloneDX 1.6 o superior, o SPDX 3.0.1 o superior, en JSON o XML. Consulte los requisitos de SBOM del CRA.
El formato importa menos que el contenido
Ambos formatos pueden contener una SBOM incompleta. Lo que decide si una SBOM es útil es que enumere todo lo que entró en el producto, incluidas las dependencias transitivas. CRACI registra la SBOM mientras se ejecuta su build de GitHub Actions, indica su completitud por job y por caché, y la exporta en CycloneDX o SPDX. Consulte la generación de SBOM durante el build.
CycloneDX vs SPDX: preguntas frecuentes
¿Qué es mejor, CycloneDX o SPDX?
Ninguno es mejor en general. CycloneDX nació del ámbito de la seguridad y admite VEX de forma nativa; SPDX nació del cumplimiento de licencias y es un estándar ISO. La mayoría de las herramientas pueden generar ambos. Elija el que le pidan sus clientes, sus reguladores o sus herramientas.
¿Qué formato de SBOM exige el Cyber Resilience Act de la UE?
El CRA pide un formato de uso común y legible por máquina, y no nombra ninguno. La directriz alemana BSI TR-03183-2 acepta CycloneDX 1.6 o superior y SPDX 3.0.1 o superior, en JSON o XML.
¿Se puede convertir entre CycloneDX y SPDX?
Existen herramientas para convertir en ambos sentidos, pero los formatos no se corresponden uno a uno, de modo que una conversión puede perder detalle. Si es posible, genere directamente el formato que necesita.
¿CRACI exporta CycloneDX o SPDX?
Ambos. CRACI registra la SBOM mientras se ejecuta su build de GitHub Actions y la exporta en CycloneDX o SPDX, con las dependencias transitivas y la licencia declarada de cada componente.
Obtenga ambos formatos de un solo build
Ejecute un job de GitHub Actions en CRACI y exporte su SBOM registrada en CycloneDX o SPDX.
Reservar una demo