Alternatives à Anchore

Nous développons CRACI, tenez-en compte ; nous décrivons chaque option à partir de sa propre documentation et indiquons quand un autre outil convient mieux.

Pourquoi les équipes regardent au-delà d'Anchore

Commençons par les noms, car ils comptent ici. Anchore développe deux outils open source, Syft (génération de SBOM) et Grype (scan de vulnérabilités), tous deux sous licence Apache 2.0. Anchore Enterprise est la plateforme commerciale distincte qui « s'appuie sur Syft et Grype, open source ». Cette page porte sur les alternatives à Anchore Enterprise.

Si vous êtes ici à cause d'Anchore Engine, l'ancien service open source : son README indique qu'il n'est plus maintenu depuis 2023, et le dépôt a été archivé le 24 mars 2026. Anchore oriente ses utilisateurs vers Syft et Grype, ou vers Anchore Enterprise.

Anchore Enterprise fait beaucoup de choses bien. Il crée des SBOM pour les conteneurs, le code source et les systèmes de fichiers, importe des SBOM produites ailleurs, rescanne les SBOM stockées sans l'artefact d'origine et applique des packs de politiques pour FedRAMP, NIST, CIS, PCI DSS et CMMC. Il s'exécute sur votre propre Kubernetes ou Docker Compose, y compris en installation air-gapped, et s'intègre à GitHub, GitLab, Jenkins, AWS CodeBuild et Azure Pipelines.

Les équipes comparent pourtant des alternatives, généralement pour des raisons de périmètre et d'adéquation :

• L'origine de la SBOM. Les SBOM d'Anchore décrivent ce qu'un scanner trouve dans une image ou un répertoire. Certaines équipes veulent un enregistrement de ce que le build a récupéré.
• Un autre centre de gravité. La conformité des licences, la collecte des SBOM fournisseurs ou le partage des SBOM avec les clients peuvent compter davantage pour vous que les politiques sur les conteneurs.
• Le mode d'exploitation. Vous voulez peut-être une plateforme open source gratuite et auto-hébergée, ou un service managé plutôt qu'un service que vous exploitez vous-même.
• Les tarifs. Anchore Enterprise est tarifé sur demande (en septembre 2026). Certaines équipes préfèrent un prix publié.

Les critères à examiner

• La façon dont la SBOM est produite : scannée à partir de fichiers, analysée à partir du code source ou enregistrée à partir du build.
• La capacité de l'outil à signaler qu'une SBOM est incomplète, et pas seulement mal formatée.
• La réception des SBOM fournisseurs, le VEX et le partage avec les clients ou les autorités.
• La politique de licences et les mentions d'attribution, si votre équipe juridique en dépend.
• L'auto-hébergement, l'air-gap et les systèmes CI que vous utilisez.

Les options

1. CRACI (notre produit)

CRACI est un runner GitHub Actions qui enregistre la SBOM pendant l'exécution du build. Un proxy qui comprend les paquets capture le trafic vers les sources de paquets, y compris les paquets restaurés depuis les caches CI, et chaque SBOM porte un état de complétude par job et par cache. CRACI applique une politique de trafic sortant qui bloque tout en cas d'échec et réévalue en continu les SBOM surveillées. Il exporte en CycloneDX et SPDX, formats qu'Anchore Enterprise peut importer. La vue d'inventaire de CRACI montre précisément quelles versions de logiciels sont déployées dans quels produits, à l'échelle mondiale.

Idéal pour : les équipes sur GitHub Actions qui doivent montrer à partir de quoi chaque release a été construite. À envisager si : vous pouvez vous passer de ce que CRACI ne fait pas : scanner des images que vous n'avez pas construites, les packs de politiques, l'auto-hébergement (les runners hébergés par le client sont sur la roadmap pour Enterprise) et les systèmes CI autres que GitHub Actions (GitLab CI et Jenkins sont sur la roadmap). CRACI face à Anchore

2. FOSSA

FOSSA a commencé par la conformité des licences : détection des licences en texte intégral, politiques automatiques, extraction des copyrights et mentions d'attribution. Il génère des SBOM SPDX et CycloneDX, avec VDR ou VEX en option, importe les SBOM fournisseurs avec des politiques pour les éléments minimaux NTIA et FDA, et partage les SBOM via un SBOM Portal sur Enterprise.

Idéal pour : les équipes pour qui le risque lié aux licences va de pair avec la sécurité. À envisager si : la tarification par projet vous convient ; il existe un plan gratuit pour 5 projets, et Business coûte $20 par projet et par mois, facturé annuellement (en septembre 2026). CRACI face à FOSSA

3. Cybeats SBOM Studio

SBOM Studio se présente comme « le système de référence des SBOM ». Il stocke les SBOM de vos produits et de vos fournisseurs, de SPDX 2.2 à 3.0.1 et de CycloneDX 1.2 à 1.7, les vérifie avec un Quality Score avant import, rapproche chaque composant en continu et produit des documents VEX. Il partage les SBOM avec les clients, y compris via la Transparency Exchange API.

Idéal pour : les équipes de sécurité produit dans des secteurs comme l'ICS et l'OT, les dispositifs médicaux, les télécoms et l'automobile. À envisager si : vous disposez d'un autre moyen de générer les SBOM ; pour cela, Cybeats renvoie vers les éditeurs de sa Marketplace. CRACI face à Cybeats

4. Manifest

Manifest crée, importe, enrichit et partage des SBOM pour vos propres produits, les logiciels de vos fournisseurs et vos modèles d'IA. Les fournisseurs téléversent leurs SBOM via un portail, et lorsqu'ils ne peuvent pas en fournir une, Manifest peut la générer à partir du binaire compilé. Les résultats se transforment en tickets, en relances fournisseurs et en rapports de risque.

Idéal pour : les organisations dont la principale exposition vient des logiciels qu'elles achètent. À envisager si : vous voulez une autre méthode de génération ; sa GitHub Action exécute Syft par défaut, un peu comme Anchore. CRACI face à Manifest

5. Dependency-Track (open source)

OWASP Dependency-Track est une plateforme gratuite sous licence Apache 2.0 qui suit les composants de chaque version de chaque application de votre portefeuille. Elle récupère les données de vulnérabilités de sources comme la NVD et les GitHub Advisories, dispose d'un moteur de politiques pour les règles de sécurité, de licences et d'exploitation, et consomme et produit du VEX CycloneDX.

Idéal pour : les équipes qui veulent une plateforme SBOM transparente et auto-hébergée, sans frais de licence. À envisager si : vous êtes prêt à l'exploiter et à l'alimenter ; elle analyse les SBOM que vous téléversez et ne les génère pas. CRACI pour les utilisateurs de Dependency-Track

6. Trivy (open source)

Trivy est un scanner gratuit sous licence Apache-2.0 pour les images de conteneurs, les systèmes de fichiers, les dépôts, les images de machines virtuelles et Kubernetes. Il détecte les vulnérabilités, les erreurs de configuration, les secrets et les licences, produit des SBOM CycloneDX et SPDX, et scanne les SBOM existantes avec trivy sbom.

Idéal pour : les équipes qui veulent un scan gratuit des images et des SBOM, ainsi que des contrôles IaC et secrets, dans un seul binaire. À envisager si : vous pouvez vous passer d'une plateforme centrale ; le stockage des résultats, les politiques et la surveillance restent à votre charge. CRACI face à Trivy

7. Snyk Container

Snyk Container scanne les images de conteneurs et les dépendances open source qu'elles contiennent, recommande des images de base comportant moins de vulnérabilités et surveille les workloads Kubernetes. Il se connecte à des registres comme Docker Hub, Amazon ECR, Azure ACR, Google GCR, Artifactory, Harbor et Red Hat Quay, et priorise les résultats selon la maturité des exploits et la configuration des workloads. Il complète le scan du code, des dépendances et de l'IaC de Snyk.

Idéal pour : les développeurs qui veulent des conseils de mise à niveau des images de base dans le même outil que leurs autres scans. À envisager si : la tarification par développeur vous convient ; Snyk propose un plan Free, Team à partir de $25 par mois et un plan Enterprise (en septembre 2026). CRACI face à Snyk

8. Docker Scout

Docker Scout analyse les images de conteneurs : il compile une SBOM de leurs composants et la rapproche d'une base de données de vulnérabilités mise à jour en continu. Vous l'utilisez depuis Docker Hub, la CLI Docker et le Docker Scout Dashboard, et il s'intègre à GitHub Actions, GitLab, Azure DevOps Pipelines, CircleCI et Jenkins ainsi qu'à des registres OCI comme Amazon ECR, Azure Container Registry, JFrog Artifactory, Harbor et Sonatype Nexus.

Idéal pour : les équipes qui construisent et stockent déjà leurs images avec les outils Docker. À envisager si : le plan correspond à votre nombre de dépôts ; en septembre 2026, le plan gratuit Personal inclut 1 dépôt activé pour Scout et Pro en inclut 2, tandis que Team, à $15 par utilisateur et par mois facturé annuellement, et Business incluent un nombre illimité de dépôts.

9. Chainguard

Chainguard emprunte l'autre voie pour réduire les résultats sur les images : il construit les logiciels open source à partir des sources et les livre durcis. Ses images de conteneurs, qu'il qualifie de zéro CVE, sont accompagnées d'une SBOM signée et d'une provenance SLSA, et pour les clients sous contrat, il s'engage à corriger les CVE critiques sous 7 jours et les autres niveaux de gravité sous 14 jours après la publication d'un correctif éligible. Il propose aussi des bibliothèques de langages reconstruites, des images de VM et des GitHub Actions durcies.

Idéal pour : les équipes qui préfèrent partir d'images de base saines plutôt que trier des résultats de scan. À envisager si : vous pouvez migrer vers ses images ; cinq sont gratuites, et la tarification du catalogue commence à $19K pour une équipe de 10 personnes (en septembre 2026). CRACI et Chainguard

Côte à côte

« Anchore » désigne Anchore Enterprise. « Non précisé » signifie que la fonctionnalité n'est pas décrite dans la documentation des éditeurs, et non qu'elle est absente. Le tableau couvre les plateformes SBOM ; Snyk Container, Docker Scout et Chainguard sont décrits plus haut.

À propos des SBOM scannées

La plupart des options présentées ici génèrent des SBOM par scan, ou dépendent d'un scanner en amont. Un scanner rapporte ce que déclarent les fichiers qu'il a sous les yeux. Un dépôt qui ne commite aucun lockfile ne lui donne rien à résoudre, et le choix des catalogueurs exécutés relève d'un paramètre plutôt que d'une propriété du projet : le même outil, dans la même version, peut donc renvoyer des listes très différentes à partir du même checkout. Cela en dit plus sur le scan en tant que méthode que sur un outil en particulier. CRACI ne peut pas du tout être comparé de cette façon, car il enregistre des builds et ne peut pas scanner un répertoire.

Quand rester sur Anchore

• Vous scannez de nombreuses images de conteneurs dans plusieurs systèmes CI, pas seulement GitHub Actions.
• Vous avez besoin de packs de politiques prêts à l'emploi pour FedRAMP, NIST, CIS, PCI DSS ou CMMC.
• Vous devez l'auto-héberger, y compris dans un réseau air-gapped.
• Vous utilisez déjà Syft et Grype et voulez la couche entreprise des mêmes mainteneurs. Si vous n'avez besoin que de la génération et du rapprochement, les outils gratuits peuvent suffire à eux seuls : CRACI face à Syft et Grype.

Pour en savoir plus sur l'enregistrement des SBOM à la source, consultez la génération de SBOM au build et la conformité CRA.

Alternatives à Anchore : FAQ

Des réponses courtes aux questions que se posent les équipes qui comparent

À quoi sert Anchore ?

Anchore sert à générer des SBOM et à y rechercher des vulnérabilités, principalement pour les images de conteneurs. Ses outils open source gratuits sont Syft, qui génère les SBOM, et Grype, qui recherche les vulnérabilités. Anchore Enterprise s'appuie sur eux pour gérer les SBOM à l'échelle d'un portefeuille, rescanner les SBOM stockées et appliquer des packs de politiques pour FedRAMP, NIST, CIS, PCI DSS et CMMC, en auto-hébergé ou en environnement air-gapped.

Grype est-il gratuit ?

Oui. Grype est open source sous licence Apache-2.0, tout comme Syft. Anchore Enterprise, la plateforme commerciale construite sur ces outils, est tarifée sur devis (en septembre 2026).

Qu'est-ce qu'Anchore Grype ?

Grype est le scanner de vulnérabilités open source d'Anchore pour les images de conteneurs, les systèmes de fichiers et les SBOM. Il couvre les paquets du système d'exploitation et des langages comme Java, JavaScript, Python, .NET, Go, PHP, Ruby et Rust, priorise à l'aide des données EPSS et KEV, et prend en charge OpenVEX pour filtrer les résultats. Il s'associe à Syft, qui génère la SBOM.

Anchore Engine est-il toujours maintenu ?

Non. Son README indique que depuis 2023 Anchore Engine n'est plus maintenu et qu'aucune nouvelle version ne sera publiée, et le dépôt GitHub a été archivé le 24 mars 2026. Anchore oriente ses utilisateurs vers Syft et Grype, ou vers Anchore Enterprise pour une plateforme avec support.

Quels sont les bons outils de sécurité des conteneurs en dehors d'Anchore ?

Pour scanner des images, Trivy et Grype sont gratuits, et Snyk Container et Docker Scout sont des outils commerciaux avec des offres gratuites. Pour partir d'images comportant moins de CVE, Chainguard fournit des images durcies. Pour enregistrer ce que vos propres builds ont intégré, images de base comprises, CRACI enregistre la SBOM pendant l'exécution d'un build GitHub Actions.