CRACI vs Anchore

En bref

Anchore Enterprise est une plateforme SBOM de sécurité et de conformité continues. Il s'appuie sur les outils open source Syft et Grype d'Anchore, scanne les images de conteneurs, les systèmes de fichiers et les SBOM importées, et applique des packs de politiques pour des normes comme FedRAMP et NIST. CRACI est un runner GitHub Actions qui enregistre les dépendances que chaque job a réellement récupérées et produit la SBOM à partir de cet enregistrement, avec un état de complétude.

La différence tient à l'origine de la liste des composants : un scan de ce qui est présent, ou un enregistrement de ce que le build a fait. CRACI surveille aussi cet enregistrement pour détecter de nouvelles vulnérabilités : la CI, la SBOM et le suivi des vulnérabilités proviennent d'un seul produit, au lieu d'un runner plus une plateforme de scan.

En un coup d'œil

Ce qu'Anchore fait bien

Commençons par les outils open source, car ils sont distincts du produit commercial. Syft est une CLI et une bibliothèque Go qui génère des SBOM à partir d'images de conteneurs et de systèmes de fichiers, sous licence Apache 2.0. Grype est un scanner de vulnérabilités open source pour les images et les systèmes de fichiers. De nombreuses équipes utilisent déjà l'un ou l'autre gratuitement.

Anchore Enterprise « s'appuie sur les outils open source Syft et Grype » et y ajoute ce dont les grandes organisations ont besoin :

• Une large couverture. SBOM de conteneurs, de code source et de systèmes de fichiers, ainsi que des SBOM créées en dehors de la plateforme. La conformité au schéma des SBOM téléversées est validée avant l'analyse. La version 6 a ajouté les machines virtuelles et les systèmes de fichiers distants.
• Un scan continu. Les SBOM stockées sont rescannées à la recherche de vulnérabilités sans l'artefact d'origine, et la plateforme recherche aussi les secrets et les malwares.
• Les politiques sous forme de code. Des politiques de blocage avec des packs prêts à l'emploi, notamment FedRAMP, NIST, CIS, PCI DSS et CMMC.
• Votre infrastructure. Helm sur EKS, AKS, GKE ou OpenShift, Docker Compose, images cloud et installations air-gapped.
• De nombreux systèmes CI. Des intégrations documentées pour GitHub, GitLab, Jenkins, AWS CodeBuild et Azure Pipelines.

Si vous gérez des parcs de conteneurs sur plusieurs systèmes CI, ou si vous travaillez dans le secteur public ou dans un environnement air-gapped, ce sont de vrais points forts, que CRACI n'égale pas aujourd'hui.

Ce qui distingue CRACI

Un enregistrement du build, pas un scan du résultat

Dans l'intégration GitHub Actions d'Anchore, anchorectl construit la SBOM sur votre runner, ou les analyseurs d'Anchore la construisent sur le serveur. Dans les deux cas, la SBOM décrit ce qu'un scanner trouve dans une image ou un répertoire. Scanner l'image finale est une bonne pratique. Le scan voit ce qui s'est retrouvé dans l'artefact. Il ne peut pas voir ce que le job a récupéré en chemin puis laissé de côté, comme les plugins de build, les outils de test et les paquets restaurés depuis un cache.

CRACI exécute le job. Vous remplacez runs-on par craci, et un proxy qui comprend les paquets enregistre le trafic vers les sources de paquets pendant le build : npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk et sources Git, ainsi que des presets de téléchargement. Les preuves de dépendances suivent les caches CI : un paquet restauré reste donc dans l'enregistrement.

Pourquoi la méthode compte

Un scanner ne peut signaler que ce que déclarent les fichiers qu'on lui soumet, et ce qu'il signale dépend de ses réglages. Syft choisit ses catalogers selon le type de scan : la même version du même outil peut donc renvoyer des listes très différentes à partir du même checkout, selon un seul paramètre. Un dépôt qui ne versionne aucun lockfile, comme express 5.2.1, ne donne rien à résoudre à un lecteur de lockfile. Il s'agit du scan en tant que méthode, pas de la qualité de Syft. CRACI ne peut pas être comparé de cette façon, car il enregistre des builds et ne peut pas scanner un répertoire.

Un état de complétude sur chaque SBOM

Chaque SBOM CRACI porte un état de complétude par job et par cache : Complete, Complete with connections, Incomplete, Unavailable ou Not recorded. L'état se transmet d'un cache à l'autre. Vous savez si chaque SBOM est un enregistrement complet ou présente une lacune.

Contrôle et provenance à la source

Comme CRACI exécute le job, il peut appliquer une politique de trafic sortant : refus par défaut ou autorisation par défaut, 24 presets de sources logicielles intégrés et des sources personnalisées typées. Les politiques sont validées avant le démarrage du job et bloquent tout en cas d'échec. L'API renvoie les SBOM, les traces réseau et la provenance.

Surveillance

CRACI réévalue en continu les SBOM surveillées et agrège les vulnérabilités de l'ensemble des builds et des dépôts. Les équipes sécurité peuvent trier les résultats et les transmettre à la bonne équipe. Les politiques bloquent un build en fonction des résultats.

Un inventaire de ce qui est déployé et où

La vue d'inventaire de CRACI montre précisément quelles versions logicielles sont déployées dans quels produits, à l'échelle mondiale. Quand une nouvelle vulnérabilité apparaît, vous voyez quels produits exécutent la version concernée, au lieu de reconstituer l'information à partir de notes de version et de tableurs.

Remplacer Anchore par CRACI

Pour les équipes sur GitHub Actions, CRACI assure le rôle que joue Anchore Enterprise pour les SBOM : il produit la SBOM dans le build, continue de réévaluer les SBOM surveillées à mesure que de nouvelles vulnérabilités sont publiées, agrège les résultats de l'ensemble des builds et des dépôts, et permet aux équipes sécurité de les trier et de transmettre chacun à l'équipe chargée de la correction. Pas de plateforme de scan à exploiter, ni d'étape de téléversement à maintenir.

Soyez lucide sur ce à quoi vous renoncez. Anchore Enterprise scanne les images de conteneurs et les systèmes de fichiers, y compris ceux que vous n'avez pas construits, et recherche les secrets et les malwares. Ses packs de politiques pour FedRAMP, NIST et des normes similaires n'ont aucun équivalent chez CRACI aujourd'hui, même si les politiques de CRACI bloquent les builds et appliquent une politique de licences. Anchore Enterprise peut aussi être auto-hébergé, y compris dans des réseaux air-gapped, et s'intègre à GitLab, Jenkins et d'autres systèmes CI. Si ces points comptent davantage qu'un enregistrement de ce à partir de quoi chaque release a été construite, Anchore convient mieux.

Pour le Cyber Resilience Act

Anchore publie des contenus sur le CRA, notamment une page consacrée au CRA européen et un guide des exigences SBOM. Il positionne Anchore Enterprise sur la gestion des SBOM, la surveillance des vulnérabilités à partir de sources dont le CISA KEV, la prise en charge des délais d'alerte précoce de 24 heures et de notification de 72 heures, les politiques de blocage, les annotations VEX et les pistes d'audit.

Les obligations de signalement du CRA s'appliquent à partir du 11 septembre 2026 : une alerte précoce dans les 24 heures suivant la prise de connaissance d'une vulnérabilité activement exploitée, via la CRA Single Reporting Platform. Les principales dispositions du CRA s'appliquent à partir du 11 décembre 2027. Signaler en 24 heures suppose de savoir quelles releases contiennent le composant concerné. L'API de CRACI renvoie les SBOM, les traces réseau et la provenance, et les SBOM s'exportent en CycloneDX ou SPDX, vulnérabilités comprises.

CRACI automatise une part importante de la visibilité et des preuves sur la chaîne d'approvisionnement logicielle dont les entreprises ont besoin pour leur démarche plus large de conformité au CRA. Aucun des deux produits ne rend un fabricant conforme à lui seul. Voir ce qu'exige le CRA et la conformité CRA avec CRACI.

CRACI et Anchore : questions fréquentes

Syft et Grype, auto-hébergement, prise en charge CI et tarifs

CRACI est-il une alternative à Anchore ?

Oui, pour les équipes sur GitHub Actions. CRACI produit la SBOM dans le build, continue de réévaluer les SBOM surveillées à mesure que de nouvelles vulnérabilités sont publiées, et permet aux équipes sécurité de trier les résultats et de les transmettre à l'équipe chargée de la correction, sans plateforme de scan à exploiter. Anchore convient mieux si vous devez scanner des images que vous n'avez pas construites, auto-héberger ou travailler sur plusieurs systèmes CI.

En quoi CRACI diffère-t-il de Syft et Grype ?

Syft et Grype sont les outils open source gratuits d'Anchore : Syft génère des SBOM à partir d'images de conteneurs et de systèmes de fichiers, et Grype les analyse pour y trouver des vulnérabilités. Tous deux lisent ce qui est présent dans les fichiers qu'on leur soumet. CRACI exécute le build et enregistre les paquets que le job a réellement récupérés, y compris ceux restaurés depuis les caches CI : pour les logiciels que vous construisez, il remplace donc les deux.

Que fait Anchore Enterprise que CRACI ne fait pas ?

Anchore Enterprise scanne les images de conteneurs et les systèmes de fichiers, y compris ceux que vous n'avez pas construits, et recherche les secrets et les malwares. Il fournit des packs de politiques pour FedRAMP, NIST, CIS, PCI DSS et CMMC, qui n'ont aucun équivalent chez CRACI aujourd'hui, même si les politiques de CRACI peuvent bloquer un build en fonction des résultats. Anchore Enterprise peut aussi être auto-hébergé, y compris dans des réseaux air-gapped.

CRACI peut-il être auto-hébergé ou fonctionner en air-gapped ?

Pas aujourd'hui. CRACI propose des runners gérés sur une infrastructure européenne, avec des runners hébergés chez le client sur la roadmap pour Enterprise. Anchore Enterprise s'installe avec Helm sur Kubernetes, avec Docker Compose ou dans des réseaux air-gapped.

Quels systèmes CI Anchore et CRACI prennent-ils en charge ?

Anchore documente des intégrations pour GitHub, GitLab, Jenkins, AWS CodeBuild et Azure Pipelines. CRACI est aujourd'hui un runner pour GitHub Actions ; d'autres systèmes CI figurent sur la roadmap, dont GitLab CI et Jenkins.

Comment les tarifs se comparent-ils ?

En septembre 2026, Anchore Enterprise est proposé sur devis. CRACI ne facture que les minutes de build : $0.002 par minute vCPU ($0.004 pour un runner 2 vCPU par défaut), décompté à la seconde, sans abonnement mensuel ni frais par SBOM. Consultez les tarifs pour les conditions actuelles.

Anchore et CRACI prennent-ils en charge VEX et le Cyber Resilience Act ?

Anchore positionne Anchore Enterprise pour le CRA avec la gestion des SBOM, la surveillance des vulnérabilités, les politiques de blocage, les annotations VEX et les pistes d'audit. CRACI prend lui aussi en charge VEX. Il enregistre à partir de quoi chaque release a été construite, continue d'en suivre les vulnérabilités et soumet en votre nom les notifications de vulnérabilités prévues par le CRA, automatisant une part importante des preuves dont votre démarche CRA a besoin. Réservez une démo pour comparer une SBOM enregistrée avec celle que produit votre scan actuel.