123% más CVE notificadas al día en 2026 que el año pasado.

Exportación de SBOM y evidencias del CRA de cada build

SBOM registradas durante el build, el registro del build a través de la API y registros de vulnerabilidades hasta la versión corregida: las evidencias en las que se basa su documentación técnica

SBOM generadas durante el build, en CycloneDX o SPDX

CRACI registra la SBOM mientras cada build se ejecuta en su runner, así que recoge los paquetes que el job descargó realmente, incluidos los restaurados desde cachés de CI. Cada SBOM se exporta en CycloneDX o SPDX, con las dependencias transitivas, las vulnerabilidades encontradas en sus componentes y la licencia declarada de cada componente. La SBOM de cada job lleva además un estado de completitud.

An SBOM recorded during the build Packages from npm, PyPI, Cargo, Go, OCI registries and the CI cache pass through a package-aware proxy on the CRACI runner. The job's SBOM lists what was fetched, states its completeness and exports as CycloneDX or SPDX. Package sources npm PyPI Cargo · Go OCI registries CI cache restore Package- aware proxy on the runner Job SBOM express 5.2.1 requests 2.32.3 serde 1.0.219 + transitive deps Declared license on every component Complete Completeness states per job and cache: Complete, Complete with connections, Incomplete, Unavailable, Not recorded CycloneDX · SPDX

SBOM, trazas de red y procedencia a través de la API

La REST API pública devuelve la SBOM de un job, su traza de red y sus datos de procedencia, para que el registro del build pueda integrarse en su propia documentación y sus herramientas. La API de SBOM devuelve JSON CycloneDX 1.7.

Provenance data from every build Every job on CRACI records the packages it fetched and its network trace. The public REST API returns the job's SBOMs, network trace and provenance. Build release job on CRACI Recorded packages fetched network trace Provenance build data, via the API Ask the API about any job Job → SBOM, trace, provenance Returned by the API Job Packages CycloneDX SBOM Network trace Recorded on every CRACI job, no extra step

Registros de vulnerabilidades, del triaje a la versión corregida

Las SBOM monitorizadas se reevalúan a medida que se publican nuevas vulnerabilidades. Los equipos de seguridad hacen el triaje de cada hallazgo y lo envían al equipo responsable de la corrección, y CRACI conserva el registro hasta la versión corregida. El historial de builds muestra cada build anterior con su SBOM, y qué builds contenían la dependencia vulnerable, directa o transitiva, para que sepa durante qué periodo estuvo expuesto.

Vulnerability tracking after release After a release ships, its SBOM stays monitored. When a new vulnerability is published, CRACI re-evaluates the monitored SBOMs, finds the affected releases, and the security team triages the finding and routes it to the team that owns the fix. The inventory view shows which software versions are deployed to which products. Release shipped SBOM monitored Later New advisory published Re-evaluated automatically Finding: critical, in 2 releases 1. Triage 2. Route to owner 3. Team fixes Policy gates can block a build on findings · VEX supported Inventory: deployed versions Product Version Web app v4.12.0 Mobile API v2.3.1

Policy gates que mantienen fuera un problema conocido

Las policy gates pueden detener un build en tiempo real por hallazgos, incluidos los builds que contienen una CVE concreta, y por licencias. Además, cada build se ejecuta bajo una política de salida que se aplica en el runner, se valida antes de que empiece el job y bloquea ante cualquier fallo, con alertas cuando se infringe la política.

Policy gates in CI Every build on CRACI records its SBOM, runs under an egress policy and records provenance data. Policy gates can block the build on findings or on a license, so issues are caught in CI before release. Pull request New dependencies, added by a developer or an AI agent Every change reaches the build the same way CRACI build SBOM recorded Egress enforced Provenance Every build, no extra step Policy gate Findings or licenses outside your policy Build blocked Or passes to release

Evidencias para su documentación técnica del CRA

Según el Cyber Resilience Act, es el fabricante quien elabora la documentación técnica, realiza la evaluación de la conformidad y redacta la declaración UE de conformidad. CRACI no realiza esos pasos. Aporta las evidencias que salen del build: SBOM, registros de vulnerabilidades y de su corrección, y datos de procedencia. CRACI también presenta en su nombre las notificaciones de vulnerabilidades del CRA: la alerta temprana, la notificación y el informe final.

CRA obligations and the evidence for them The CRA obligations that touch the software supply chain, such as the SBOM, vulnerability handling, reporting, due diligence and technical documentation, are where CRACI provides evidence. The risk assessment and the conformity assessment stay with the manufacturer. Obligation CRACI evidence Software bill of materials Yes Vulnerability handling Yes Reporting exploited vulnerabilities Submitted for you Due diligence on components Yes Technical documentation Evidence and exports Risk assessment, secure design Yours Conformity assessment, CE Yours CRACI automates a significant part of the supply chain visibility and evidence your CRA process needs

Vea las evidencias que generan sus builds

Reserve una demo para ver la exportación de SBOM, la API y el seguimiento de vulnerabilidades en CRACI

Reservar una demo