Alternatives à Trivy

Nous développons CRACI, tenez-en compte ; nous décrivons chaque option à partir de sa propre documentation et indiquons quand un autre outil convient mieux.

Pourquoi les équipes regardent au-delà de Trivy

Trivy, d'Aqua Security, est un scanner polyvalent sous Apache-2.0 pour les images, les systèmes de fichiers, les dépôts, les images de VM et Kubernetes. Il trouve les vulnérabilités, les erreurs de configuration IaC, les secrets et les licences, et écrit des SBOM CycloneDX ou SPDX.

Les équipes regardent ailleurs lorsque leur situation change :

• La compromission de la chaîne d'approvisionnement de mars 2026. L'avis d'Aqua Security (CVE-2026-33634) décrit une release malveillante de Trivy v0.69.4 et des tags trivy-action et setup-trivy empoisonnés le 19 mars 2026, suivis d'images Docker Hub malveillantes le 22 mars. Le code injecté a volé des identifiants sur les runners CI. Aqua a publié les versions sûres et recommande d'épingler les actions sur des SHA de commit complets.
• L'étendue plutôt que la profondeur. Un seul binaire couvre de nombreuses tâches. Les équipes qui ont besoin de plus dans un domaine, comme les images de conteneurs ou l'infrastructure as code, confient souvent cette tâche à un outil dédié.
• Entrées. Pour un dépôt, Trivy lit les lockfiles : un projet qui n'en a pas ne lui donne donc rien à lire.
• Preuves. Sa SBOM décrit les fichiers qu'il a scannés, pas ce que le build a récupéré.
• Surveillance. Il scanne lorsque vous le lancez ; surveiller ce qui a été livré implique de rescanner selon votre propre planning.

Chaque scanner que votre pipeline télécharge et exécute fait lui-même partie de votre chaîne d'approvisionnement logicielle et s'exécute à côté des secrets du job. Sur CRACI, le runner enregistre la SBOM : il n'y a donc aucune étape de scanner à télécharger pour les logiciels que vous construisez. La politique de trafic sortant du runner peut limiter les hôtes qu'atteint chaque étape du job, et la trace réseau de chaque job est enregistrée. Épingler les actions sur des SHA de commit, comme le recommande Aqua, vaut aussi sur CRACI.

Ce qu'il faut examiner

• La tâche de Trivy que vous remplacez : scan d'images, IaC, secrets ou SBOM.
• Si la SBOM vient de fichiers sur le disque ou de ce que le build a récupéré.
• Les dépendances transitives, et si l'outil indique quand son enregistrement est incomplet.
• La surveillance après la release, pas seulement un scan lorsque vous le lancez.
• Les formats : CycloneDX, SPDX et VEX.

Les options

Grype, Docker Scout, Snyk Container et Clair scannent les images de conteneurs. Checkov et KICS scannent l'infrastructure as code, et Gitleaks trouve les secrets. CRACI, Anchore Enterprise, Aikido, Dependency-Track et GitHub Advanced Security couvrent les SBOM et les vulnérabilités de dépendances de différentes manières.

1. CRACI (notre produit)

CRACI enregistre la SBOM pendant que votre build GitHub Actions s'exécute, au lieu de scanner des fichiers après coup. Un proxy qui comprend les paquets enregistre chaque paquet récupéré par le job, y compris les paquets restaurés depuis les caches CI, et chaque SBOM, en CycloneDX ou SPDX, indique sa complétude par job et par cache. CRACI réévalue en continu les SBOM surveillées à mesure que de nouvelles vulnérabilités apparaissent, des règles de politique peuvent bloquer un build en fonction des résultats, et l'API renvoie les SBOM, les traces réseau et la provenance.

Idéal pour : la SBOM et les vulnérabilités des dépendances des logiciels que vous construisez sur GitHub Actions.

À envisager si : vous n'avez pas besoin du scan d'infrastructure as code, de secrets, de clusters ou d'images de VM, que CRACI ne fait pas, et vos builds tournent sur GitHub Actions sous Linux.

Génération de SBOM pendant le build

2. Syft et Grype (open source)

Syft est le générateur gratuit d'Anchore, sous Apache-2.0, pour les images de conteneurs et les systèmes de fichiers. Il reconnaît des dizaines de types de paquets, écrit du CycloneDX, du SPDX et du Syft JSON, et peut créer des attestations SBOM in-toto signées. Grype, son compagnon, rapproche la SBOM des vulnérabilités.

Idéal pour : les images, et tout pipeline qui a besoin d'un générateur gratuit.

À envisager si : vous pouvez vérifier les paramètres de scan : les catalogueurs sont choisis selon le type de scan, si bien qu'un seul flag peut décider si les paquets npm apparaissent ou non.

CRACI face à Syft et Grype

3. Docker Scout

Docker Scout analyse les images de conteneurs : il dresse l'inventaire de leurs composants, une SBOM, et le rapproche d'une base de données de vulnérabilités mise à jour en continu. Vous l'utilisez depuis Docker Hub, le Docker CLI et le Docker Scout Dashboard. Il s'intègre à GitHub Actions, GitLab, Azure DevOps Pipelines, CircleCI et Jenkins, ainsi qu'aux registres OCI comme Amazon ECR, Azure Container Registry, JFrog Artifactory, Harbor et Sonatype Nexus. En septembre 2026, le plan gratuit Docker Personal inclut 1 dépôt avec Scout activé et Pro en inclut 2 ; Team, à $15 par utilisateur et par mois facturé annuellement, et Business incluent des dépôts illimités.

Idéal pour : les équipes qui construisent et stockent déjà leurs images avec les outils de Docker.

À envisager si : vous avez besoin d'analyser plus de deux dépôts, ce qui nécessite un plan Team ou Business.

4. Snyk Container

Snyk Container scanne les images de conteneurs et les dépendances open source qu'elles contiennent, recommande des images de base comportant moins de vulnérabilités et surveille les charges de travail Kubernetes. Il se connecte à des registres dont Docker Hub, Amazon ECR, Azure ACR, Google GCR, Artifactory, Harbor et Red Hat Quay, et priorise les résultats selon la maturité des exploits et la configuration des charges de travail. En septembre 2026, Snyk propose un plan Free, Team à partir de $25 par mois et un plan Enterprise.

Idéal pour : les développeurs qui veulent des conseils de mise à niveau des images de base à côté du scan du code et des dépendances de Snyk.

CRACI face à Snyk

5. Clair (open source)

Clair, issu du projet Quay, est un service sous Apache 2.0 d'analyse statique des vulnérabilités dans les images de conteneurs. Son indexeur récupère les couches d'image, son matcher confronte l'index aux données de vulnérabilités, et son notifier vous alerte lorsqu'une nouvelle vulnérabilité touche une image déjà indexée. Il rapproche les paquets du système d'exploitation pour Ubuntu, Debian, RHEL, SUSE, Oracle, Alpine, Amazon Linux et VMware Photon, ainsi que les paquets Python.

Idéal pour : les registres et plateformes qui ont besoin d'un service de scan d'images derrière une API, comme dans Quay.

À envisager si : vous êtes prêt à exploiter un service plutôt qu'un CLI, et sa couverture des langages correspond à vos images.

6. Checkov (open source)

Checkov, maintenu par Prisma Cloud de Palo Alto Networks, scanne l'infrastructure as code : Terraform et plans Terraform, OpenTofu, CloudFormation, AWS SAM, Kubernetes, Helm, Kustomize, Dockerfiles, Serverless, Bicep, modèles ARM et OpenAPI. Il scanne aussi les paquets open source et les images de conteneurs à la recherche de CVE et trouve les secrets au moyen de vérifications par regex, mots-clés et entropie. Il est open source sous Apache-2.0.

Idéal pour : remplacer le scan des mauvaises configurations de Trivy pour l'infrastructure as code.

7. KICS (open source)

KICS, de Checkmarx, détecte les problèmes de sécurité dans l'infrastructure as code. Il couvre Terraform, Kubernetes, Docker, CloudFormation, Ansible, Helm, Pulumi et d'autres, et est open source sous Apache-2.0.

Idéal pour : un scanner IaC open source qui couvre aussi Ansible et Pulumi.

8. Gitleaks (open source)

Gitleaks détecte les mots de passe, clés d'API et jetons dans les dépôts Git et les fichiers. Il est open source sous MIT.

Idéal pour : remplacer le scan des secrets de Trivy par un outil dédié.

9. Anchore Enterprise

Anchore Enterprise s'appuie sur Syft et Grype, les outils open source d'Anchore. Il génère des SBOM à partir d'images de conteneurs, de code source et de systèmes de fichiers, importe des SBOM créées ailleurs, rescanne les SBOM stockées sans l'artefact d'origine, et applique des packs de politiques pour FedRAMP, NIST, CIS, PCI DSS et CMMC. Il se déploie sur Kubernetes, Docker Compose ou en environnement isolé (air-gapped). La tarification se fait sur devis.

Idéal pour : les parcs de conteneurs répartis sur plusieurs systèmes de CI, et les environnements gouvernementaux ou isolés (air-gapped).

CRACI face à Anchore

10. Aikido

Une suite AppSec étendue. Chaque plan liste SCA, SAST, secrets, IaC, posture cloud, scan de conteneurs, DAST, scan de licences et génération de SBOM. Sa SCA utilise l'atteignabilité au niveau des fonctions, AutoFix ouvre des pull requests, et l'outil peut bloquer les pull requests présentant des résultats critiques. Il existe un plan Developer gratuit, et les plans payants commencent à $350 par mois (en septembre 2026).

Idéal pour : les petites équipes qui veulent un seul outil et un seul tableau de bord pour la plupart de leurs besoins de scan.

CRACI face à Aikido

11. Dependency-Track (open source)

OWASP Dependency-Track est une plateforme gratuite sous Apache 2.0 qui suit les composants de chaque version de chaque application de votre portefeuille. Elle récupère des données de vulnérabilités auprès de sources dont la NVD et GitHub Advisories, dispose d'un moteur de politiques pour les règles de sécurité, de licence et d'exploitation, et consomme et produit du CycloneDX VEX.

Idéal pour : les équipes qui veulent une plateforme SBOM transparente et auto-hébergée, sans frais de licence.

À envisager si : vous êtes prêt à l'exploiter et à l'alimenter ; elle analyse les SBOM que vous importez et ne les génère pas.

CRACI pour les utilisateurs de Dependency-Track

12. GitHub Advanced Security

Deux produits payants en plus des fonctionnalités de la plateforme GitHub. Secret Protection couvre le scan des secrets et la protection lors du push ; Code Security couvre le scan de code CodeQL, Copilot Autofix et la revue des dépendances. Ils s'appuient sur le graphe des dépendances et Dependabot, inclus dans tous les plans GitHub, et le graphe s'exporte en SBOM SPDX. Secret Protection coûte $19 et Code Security $30 par committer actif et par mois, sur Team ou Enterprise (en septembre 2026).

Idéal pour : les équipes dont le code et les workflows se trouvent déjà sur GitHub et qui veulent moins de fournisseurs.

CRACI face à GitHub Advanced Security

Grype vs Trivy

Tous deux sont des scanners gratuits et open source sous Apache-2.0, et tous deux scannent les images de conteneurs et les systèmes de fichiers. La différence tient au périmètre :

• Grype se concentre sur les vulnérabilités. Il scanne les images Docker, OCI et Singularity, les systèmes de fichiers et les SBOM, couvre les paquets système et des langages dont Java, JavaScript, Python, .NET, Go, PHP, Ruby et Rust, priorise avec les données EPSS et KEV et filtre les résultats avec OpenVEX. La génération de SBOM est le travail de Syft.
• Trivy en fait davantage dans un seul binaire. Au-delà des vulnérabilités, il trouve les erreurs de configuration IaC, les secrets et les licences, scanne les dépôts, les images de machines virtuelles et Kubernetes, et écrit lui-même des SBOM CycloneDX ou SPDX.

Choisissez Grype, avec Syft, lorsque vous voulez un scanner ciblé pour les images et les SBOM. Choisissez Trivy lorsqu'un seul outil pour de nombreux contrôles compte davantage. Tous deux lisent les fichiers qu'on leur soumet : ils dépendent donc tous deux de la présence de lockfiles ou de paquets installés.

Côte à côte

« Non précisé » signifie que nous n'avons pas pu le confirmer dans les pages publiques de l'éditeur.

Quand rester sur Trivy

• Vous scannez l'infrastructure as code, des clusters Kubernetes, des images de VM, des secrets ou des erreurs de configuration.
• Vous scannez des images ou des logiciels que vous n'avez pas construits.
• Vous voulez un seul binaire gratuit qui s'exécute dans n'importe quelle CI.
• Vous pouvez combiner : gardez Trivy pour ce que CRACI ne scanne pas.

En savoir plus dans CRACI face à Trivy, sur la génération de SBOM au build et dans le comparatif des outils SBOM.

Alternatives à Trivy : FAQ

Des réponses courtes aux questions que se posent les équipes qui comparent

Quelle est la meilleure alternative à Trivy ?

Tout dépend de la tâche de Trivy que vous remplacez. Pour les images de conteneurs, Grype est l'équivalent open source le plus proche, et Docker Scout, Snyk Container et Clair sont d'autres options. Pour l'infrastructure as code, Checkov et KICS. Pour les secrets, Gitleaks. Pour la SBOM et les vulnérabilités de dépendances des logiciels que vous construisez sur GitHub Actions, CRACI enregistre la SBOM depuis le build et continue de la suivre. Aucun outil ne remplace à lui seul tout Trivy.

Trivy est-il gratuit ?

Oui. Trivy est open source sous Apache-2.0 et maintenu par Aqua Security. Grype, Clair, Checkov et KICS sont également gratuits sous Apache-2.0, et Gitleaks sous MIT.

Grype vs Trivy : lequel est le meilleur ?

Aucun des deux dans l'absolu. Grype se concentre sur les vulnérabilités des images de conteneurs, des systèmes de fichiers et des SBOM, avec les données EPSS et KEV et le filtrage OpenVEX, et s'associe à Syft pour les SBOM. Trivy couvre davantage dans un seul binaire : également l'infrastructure as code, les secrets, les licences, les images de machines virtuelles et Kubernetes. Choisissez Grype pour un scan de vulnérabilités ciblé et Trivy pour un seul outil couvrant de nombreux contrôles.

Trivy reste-t-il sûr à utiliser après la compromission de mars 2026 ?

L'avis d'Aqua Security (CVE-2026-33634) décrit une release malveillante de Trivy v0.69.4 et des tags trivy-action et setup-trivy empoisonnés le 19 mars 2026, ainsi que des images Docker Hub malveillantes le 22 mars. Aqua liste les versions sûres et recommande de renouveler les secrets susceptibles d'avoir été exposés et d'épingler les GitHub Actions sur des SHA de commit complets. Vérifiez l'avis pour les versions que vous utilisez.

Trivy scanne-t-il l'infrastructure as code ?

Oui. Trivy trouve les erreurs de configuration dans l'infrastructure as code, en plus des vulnérabilités, des secrets et des licences. Si vous préférez un scanner IaC dédié, Checkov et KICS sont des options open source.

CRACI peut-il remplacer Trivy ?

Pour la SBOM et les vulnérabilités de dépendances des logiciels que vous construisez sur GitHub Actions, oui : CRACI enregistre la SBOM pendant l'exécution du build et continue de la réévaluer par rapport aux données de vulnérabilités. CRACI ne scanne pas l'infrastructure as code, les clusters Kubernetes, les images de machines virtuelles, les secrets, les erreurs de configuration ni les images que vous n'avez pas construites. Pour cela, gardez Trivy ou un autre scanner.