Alternatives à Syft et Grype

Nous développons CRACI, tenez-en compte ; nous décrivons chaque option à partir de sa propre documentation et indiquons quand un autre outil convient mieux.

Pourquoi les équipes regardent au-delà de Syft et Grype

Syft est le générateur gratuit d'Anchore, sous Apache-2.0, pour les images de conteneurs et les systèmes de fichiers. Il reconnaît des dizaines de types de paquets, écrit CycloneDX, SPDX et Syft JSON, et peut créer des attestations de SBOM in-toto signées. Grype, son compagnon, rapproche la SBOM des vulnérabilités.

Les équipes regardent ailleurs lorsque leur situation change :

• Réglages. Les catalogers sont choisis selon le type de scan : sur un checkout express installé, un seul flag décide donc si les paquets npm apparaissent ou non dans le résultat.
• Format et écosystème. Certaines équipes veulent un générateur issu de la communauté CycloneDX, du SPDX à partir d'une sortie de build, ou un outil conçu pour un seul gestionnaire de paquets.
• Preuves. La SBOM décrit les fichiers scannés, pas ce que le build a récupéré.
• Surveillance. Surveiller ce qui a été livré implique de stocker les SBOM et de relancer Grype vous-même.

Ce qu'il faut examiner

• Si la SBOM vient de fichiers sur le disque ou de ce que le build a récupéré.
• Les dépendances transitives, et si l'outil indique quand son enregistrement est incomplet.
• La surveillance après la release, pas seulement un scan lorsque vous le lancez.
• Les formats : CycloneDX, SPDX et VEX.
• Ce que vous devez scanner d'autre : images que vous n'avez pas construites, IaC, secrets, clusters.

Les options

Les six premières sont des générateurs de SBOM. Les autres ajoutent le rapprochement des vulnérabilités, la surveillance ou une plateforme plus large autour de la SBOM.

1. CRACI (notre produit)

CRACI enregistre la SBOM pendant que votre build GitHub Actions s'exécute, au lieu de scanner des fichiers après coup. Un proxy qui comprend les paquets enregistre chaque paquet récupéré par le job, y compris les paquets restaurés depuis les caches CI, et chaque SBOM, en CycloneDX ou SPDX, indique sa complétude par job et par cache. CRACI réévalue en continu les SBOM surveillées à mesure que de nouvelles vulnérabilités apparaissent, des règles de politique peuvent bloquer un build en fonction des résultats, et l'API renvoie les SBOM, les traces réseau et la provenance.

Idéal pour : la SBOM et les vulnérabilités des dépendances des logiciels que vous construisez sur GitHub Actions.

À envisager si : vous n'avez pas besoin du scan d'infrastructure as code, de secrets, de clusters ou d'images de VM, que CRACI ne fait pas, et vos builds tournent sur GitHub Actions sous Linux.

Génération de SBOM pendant le build

2. cdxgen (open source)

cdxgen est un projet OWASP CycloneDX qui crée des BOM CycloneDX à partir du code source et d'images de conteneurs, sous Apache-2.0. Pour Node.js, il analyse d'abord les lockfiles, dépendances de développement comprises, et analyse aussi le code à la recherche d'imports. Vous pouvez définir le type de projet avec -t pour limiter ce qu'il recherche.

Idéal pour : les équipes standardisées sur CycloneDX qui veulent un générateur issu de la communauté du format.

À envisager si : vous pouvez vous contenter de ce que déclarent les fichiers : comme les autres scanners, il ne peut signaler que ce qu'il a sous les yeux.

SBOM Syft, Trivy et cdxgen

3. Microsoft SBOM Tool (open source)

Le Microsoft SBOM Tool est un générateur sous licence MIT qui écrit du SPDX 2.2, ou du SPDX 3.0 sur demande, et peut valider une SBOM par rapport à la spécification SPDX. Il attend en ligne de commande un dossier de sortie du build, un nom de paquet, une version et un fournisseur, ce qui en fait une étape post-build, et il fonctionne dans GitHub Actions et Azure Pipelines.

Idéal pour : les équipes qui veulent du SPDX pour un résultat de build qu'elles empaquettent déjà.

À envisager si : vous le pointez vers un dossier de sortie du build : pointé vers un dépôt tel que commité, il n'a presque rien à décrire.

CRACI face à une stack SBOM faite maison

4. Outils et plugins de build CycloneDX (open source)

Le projet CycloneDX maintient des générateurs dédiés à un seul écosystème, listés dans son Tool Center : des plugins pour Maven, Gradle et Apache Ant, et des outils pour npm, Yarn, Python, .NET, les modules Go, Rust Cargo, PHP Composer, Ruby Gems, Erlang et Elixir, et Conan. Le CycloneDX CLI, distinct et sous Apache 2.0, ne génère pas de SBOM : il les convertit, les fusionne, les compare, les valide et les signe.

Idéal pour : un projet dans un seul écosystème qui veut un générateur conçu pour cet écosystème.

À envisager si : vous pouvez exécuter un outil par écosystème dans une base de code qui mélange les langages.

CycloneDX ou SPDX

5. Tern (open source)

Tern est un outil d'analyse de la composition logicielle et une bibliothèque Python qui génère une SBOM pour les images de conteneurs et les Dockerfiles, sous BSD-2-Clause. Il donne une vue couche par couche du contenu d'un conteneur, à partir des métadonnées des paquets de chaque couche, et écrit notamment du SPDX tag-value, du SPDX JSON et du CycloneDX JSON.

Idéal pour : voir quelle couche d'image a introduit quel paquet.

À envisager si : vos besoins en SBOM portent sur des images de conteneurs plutôt que sur des dépôts de code source.

SBOM d'images Docker

6. Amazon Inspector SBOM Generator

Sbomgen est le générateur qui sous-tend le scan des images, de Lambda et d'EC2 d'Amazon Inspector, proposé sous forme de binaire Linux autonome. Il lit les métadonnées des paquets à partir d'images de conteneurs, de répertoires, d'archives, de volumes montés et de binaires Go et Rust compilés, et écrit du CycloneDX. Il peut envoyer la SBOM à l'API Amazon Inspector Scan pour obtenir des résultats de vulnérabilités, ce qui nécessite un compte AWS.

Idéal pour : les équipes dont les charges de travail tournent déjà sur AWS.

À envisager si : vous l'exécutez sous Linux, la seule plateforme qu'il prend en charge.

Comparatif des outils SBOM

7. Trivy (open source)

Un scanner gratuit sous Apache-2.0 d'Aqua Security. Il scanne les images de conteneurs, les systèmes de fichiers, les dépôts, les images de VM et Kubernetes à la recherche de vulnérabilités, de mauvaises configurations IaC, de secrets et de licences, et écrit des SBOM CycloneDX ou SPDX. Pour un dépôt, il lit les lockfiles ; pour une image, les métadonnées des paquets installés.

Idéal pour : les équipes au budget serré, ou qui veulent un seul scanner dans n'importe quelle CI.

À envisager si : vous pouvez construire le reste vous-même : la surveillance implique de rescanner selon votre propre calendrier.

CRACI face à Trivy

8. Anchore Enterprise

Anchore Enterprise s'appuie sur Syft et Grype, les outils open source d'Anchore. Il génère des SBOM à partir d'images de conteneurs, de code source et de systèmes de fichiers, importe des SBOM créées ailleurs, rescanne les SBOM stockées sans l'artefact d'origine, et applique des packs de politiques pour FedRAMP, NIST, CIS, PCI DSS et CMMC. Il se déploie sur Kubernetes, Docker Compose ou en environnement isolé (air-gapped). La tarification se fait sur devis.

Idéal pour : les parcs de conteneurs répartis sur plusieurs systèmes de CI, et les environnements gouvernementaux ou isolés (air-gapped).

CRACI face à Anchore

9. Dependency-Track (open source)

OWASP Dependency-Track est une plateforme gratuite sous Apache 2.0 qui suit les composants de chaque version de chaque application de votre portefeuille. Elle récupère des données de vulnérabilités auprès de sources dont la NVD et GitHub Advisories, dispose d'un moteur de politiques pour les règles de sécurité, de licence et d'exploitation, et consomme et produit du CycloneDX VEX.

Idéal pour : les équipes qui veulent une plateforme SBOM transparente et auto-hébergée, sans frais de licence.

À envisager si : vous êtes prêt à l'exploiter et à l'alimenter ; elle analyse les SBOM que vous importez et ne les génère pas.

CRACI pour les utilisateurs de Dependency-Track

10. Aikido

Une suite AppSec étendue. Chaque plan liste SCA, SAST, secrets, IaC, posture cloud, scan de conteneurs, DAST, scan de licences et génération de SBOM. Sa SCA utilise l'atteignabilité au niveau des fonctions, AutoFix ouvre des pull requests, et l'outil peut bloquer les pull requests présentant des résultats critiques. Il existe un plan Developer gratuit, et les plans payants commencent à $350 par mois (en septembre 2026).

Idéal pour : les petites équipes qui veulent un seul outil et un seul tableau de bord pour la plupart de leurs besoins de scan.

CRACI face à Aikido

11. GitHub Advanced Security

Deux produits payants en plus des fonctionnalités de la plateforme GitHub. Secret Protection couvre le scan des secrets et la protection lors du push ; Code Security couvre le scan de code CodeQL, Copilot Autofix et la revue des dépendances. Ils s'appuient sur le graphe des dépendances et Dependabot, inclus dans tous les plans GitHub, et le graphe s'exporte en SBOM SPDX. Secret Protection coûte $19 et Code Security $30 par committer actif et par mois, sur Team ou Enterprise (en septembre 2026).

Idéal pour : les équipes dont le code et les workflows se trouvent déjà sur GitHub et qui veulent moins de fournisseurs.

CRACI face à GitHub Advanced Security

Côte à côte

« Non précisé » signifie que nous n'avons pas pu le confirmer dans les pages publiques de l'éditeur.

Quand rester sur Syft et Grype

• Vous scannez des images que vous n'avez pas construites.
• Vous comptez sur le filtrage VEX de Grype ou sur ses seuils de sévérité dans la CI.
• Vous voulez un générateur gratuit qui s'exécute partout.
• Vous pouvez combiner : gardez Syft et Grype pour les images que vous n'avez pas construites.

En savoir plus sur la génération de SBOM au build, le comparatif des outils SBOM et ce qui échappe aux générateurs de SBOM open source.

Alternatives à Syft et Grype : FAQ

Des réponses courtes aux questions que se posent les équipes qui comparent

Quel est le meilleur générateur de SBOM open source ?

Cela dépend de ce que vous lui soumettez. Syft et Trivy sont des générateurs gratuits sous Apache-2.0 pour les images de conteneurs et les systèmes de fichiers. cdxgen écrit du CycloneDX à partir du code source et des images, les plugins de build CycloneDX couvrent chacun un écosystème, le Microsoft SBOM Tool écrit du SPDX pour un dossier de sortie de build, et Tern montre une image couche par couche. Tous lisent des fichiers. CRACI, un produit payant, enregistre la SBOM depuis le build lui-même.

Combien coûte Syft ?

Rien. Syft et Grype sont gratuits et open source sous Apache-2.0. Anchore vend Anchore Enterprise, une plateforme commerciale distincte construite sur ces outils, sur devis (en septembre 2026).

Comment générer une SBOM avec Syft ?

Exécutez syft avec une cible et un format de sortie, par exemple syft my-image:latest -o spdx-json=sbom.spdx.json pour une image, ou syft ./my-project -o cyclonedx-json=sbom.cdx.json pour un répertoire. syft cataloger list montre quels catalogers s'exécutent pour ce type de scan.

Quelle est la différence entre Syft et Grype ?

Syft génère la SBOM. Grype est le scanner de vulnérabilités : il scanne les images de conteneurs, les systèmes de fichiers et les SBOM, priorise avec les données EPSS et KEV, et prend en charge OpenVEX pour filtrer les résultats. Tous deux viennent d'Anchore sous Apache-2.0, et les équipes les utilisent généralement ensemble.

CRACI peut-il remplacer Syft et Grype ?

Pour les logiciels que vous construisez sur GitHub Actions, oui. CRACI enregistre la SBOM pendant l'exécution du build, avec un état de complétude par job et par cache, et continue de réévaluer les SBOM surveillées à mesure que de nouvelles vulnérabilités apparaissent. Pour les images que vous n'avez pas construites, gardez un scanner tel que Syft et Grype.